SAP Basis & Security SAP Patch Day August 2025

Kritisch (Hot News): Code-Injection-Schwachstelle in SAP Landscape Transformation (Analyseplattform)

Produkt: SAP Landscape Transformation (Analysis Platform), Version - DMIS 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020

• Es besteht eine kritische Code-Injection-Schwachstelle (CVE-2025-42950) in SAP Landscape Transformation (SLT), die es einem Angreifer mit Benutzerberechtigungen ermöglicht, eine Sicherheitslücke in einem über RFC exponierten Funktionsbaustein auszunutzen. Dabei können grundlegende Berechtigungsprüfungen umgangen und beliebiger ABAP-Code in das System eingeschleust werden.
• Diese Schwachstelle wirkt wie eine Hintertür und ermöglicht im schlimmsten Fall die vollständige Kompromittierung des Systems. Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen betroffen.
• Mit der im Sicherheitshinweis bereitgestellten Korrektur werden die Code-Injection-Risiken beseitigt. Die Anpassung stellt sicher, dass keine beliebige Codeausführung mehr möglich ist und damit das Einschleusen sowie Ausführen schädlicher Skripte oder Befehle verhindert wird.
• Es ist keine Lösung verfügbar. SAP empfiehlt dringend, die im Hinweis genannten Support Packages oder Korrekturanleitungen umgehend einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3633838

Kritisch (Hot News): Fehlerhafte Berechtigung in SAP Business One (SLD)

Produkt: SAP Business One (SLD), Version - B1_ON_HANA 10.0, SAP-M-BO 10.0

• Es besteht eine kritische Schwachstelle in SAP Business One (SLD), die es einem authentifizierten Angreifer ermöglicht, durch Aufruf eines bestimmten API Administratorberechtigungen für eine Datenbank zu erlangen. Dies kann zu einem vollständigen Zugriff auf sensible Daten führen und sowohl die Vertraulichkeit als auch die Integrität und Verfügbarkeit der Anwendung erheblich gefährden. Die Schwachstelle wurde unter CVE-2025-42951 erfasst.
• Die Ursache liegt in einer fehlerhaften Berechtigungsprüfung im SLD-Backend-Service. Bei Anmeldung eines normalen Business-One-Benutzers über den nativen Client wird die Berechtigung nicht korrekt durchgesetzt, sodass privilegierte Funktionen und Anmeldeinformationen offengelegt werden können.
• SAP hat mit diesem Sicherheitshinweis Korrekturen bereitgestellt, die unter anderem sicherstellen, dass nur der Landschaftsadministrator (z. B. B1SiteUser) das betroffene API aufrufen kann, der Client das korrekte Datenbankkonto für den Zugriff verwendet und privilegierte Verwaltungsaufgaben künftig eine separate Anmeldung mit Administrationsrechten erfordern.
• Es ist kein workaround verfügbar. SAP empfiehlt dringend, die im Hinweis genannten Patches und Support Packages umgehend einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3625403

Kritisch (Hot News): Code-Injection-Schwachstelle in SAP S/4HANA (Private Cloud oder On-Premise)

Produkt: SAP S/4HANA (Private Cloud or On-Premise), Version - S4CORE 102, 103, 104, 105, 106, 107, 108

• Es besteht eine kritische Code-Injection-Schwachstelle (CVE-2025-42957) in SAP S/4HANA, die es einem Angreifer mit Benutzerberechtigungen ermöglicht, eine Sicherheitslücke in einem über RFC exponierten Funktionsbaustein auszunutzen. Dabei können grundlegende Berechtigungsprüfungen umgangen und beliebiger ABAP-Code in das System eingeschleust werden.
• Die Schwachstelle stellt ein erhebliches Risiko dar, da sie wie eine Hintertür funktioniert und die vollständige Kompromittierung des Systems ermöglicht. Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen betroffen.
• Mit der im Sicherheitshinweis bereitgestellten Korrektur werden die Code-Injection-Risiken beseitigt. Es wird sichergestellt, dass die Anwendung keine beliebige Codeausführung mehr zulässt und somit das Einschleusen sowie Ausführen schädlicher Skripte oder Befehle verhindert wird.
• Es ist kein workaround verfügbar. SAP empfiehlt dringend, die im Hinweis genannten Support Packages oder Korrekturanleitungen umgehend einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3627998

Hoch: Mehrere Schwachstellen in SAP NetWeaver Application Server ABAP (BIC Dokument)

Produkt: SAP NetWeaver Application Server ABAP (BIC Document), Version - S4COREOP 104, 105, 106, 107, 108, SEM-BW 600, 602, 603, 604, 605, 634, 736, 746, 747, 748

• Es bestehen mehrere sicherheitsrelevante Schwachstellen in SAP NetWeaver Application Server ABAP (BIC Dokument), die sowohl authentifizierte als auch nicht authentifizierte Angriffe ermöglichen.
• Eine als kritisch eingestufte Speicherbeschädigungs-Schwachstelle (CVE-2025-42976) erlaubt es einem authentifizierten Angreifer, gezielt präparierte Anforderungen an die BIC-Dokument-Anwendung zu senden. Dies kann zu einem Absturz der betroffenen Komponente führen und im Wiederholungsfall die vollständige Nichtverfügbarkeit der Anwendung verursachen. Darüber hinaus kann durch Ausnutzung dieser Lücke ein Lesezugriff außerhalb des vorgesehenen Speicherbereichs erfolgen, wodurch sensible Informationen offengelegt werden können. Die Schwachstelle wurde mit einem CVSS Score von 8,1 (hoch) bewertet.
• Zusätzlich besteht eine Reflected-Cross-Site-Scripting-Schwachstelle (CVE-2025-42975), bei der ein nicht authentifizierter Angreifer einen manipulierten Link erzeugen kann. Wird dieser in der BIC-Dokument-Anwendung aufgerufen, kann ein Schadskript im Browser des Opfers ausgeführt werden. Dadurch können vertrauliche Informationen im Zusammenhang mit dem Web-Client abgegriffen oder verändert werden. Die Bewertung dieser Lücke liegt bei einem CVSS Score von 6,1 (mittel).
• SAP empfiehlt dringend, die im Sicherheitshinweis genannten Korrekturen oder Support Packages einzuspielen. Als temporärer workaround kann der SICF-Service „BIC“ deaktiviert werden, um die Angriffsfläche zu reduzieren.
• Mehr dazu finden Sie unter dem Hinweis: 3611184

Hoch: Directory-Traversal-Schwachstelle in SAP S/4HANA (Bank Communication Management)

Produkt: SAP S/4HANA (Bank Communication Management) Version - SAP_APPL 606, SAP_FIN 617, 618, 720, 730, S4CORE 102, 103, 104, 105, 106, 107, 108

• Es besteht eine Directory-Traversal-Schwachstelle (CVE-2025-42946) in SAP S/4HANA (Bank Communication Management), die es einem Angreifer mit hohen Berechtigungen und Zugriff auf eine bestimmte Transaktion und Methode ermöglicht, unberechtigt auf sensible Betriebssystemdateien zuzugreifen. Der Angreifer kann diese Dateien lesen oder löschen, was die Vertraulichkeit erheblich und die Integrität in geringem Maße beeinträchtigt. Die Verfügbarkeit des Systems bleibt unberührt.
• Die Ursache liegt in einer unzureichenden Validierung von Dateipfaden, die von einer spezifischen Methode in SAP Bank Communication Management bereitgestellt wurden.
• Mit der im Sicherheitshinweis enthaltenen Korrektur werden Pfadvalidierungsprüfungen implementiert, um Directory-Traversal-Angriffe zu verhindern.
• SAP empfiehlt, die im Hinweis genannten Support Packages oder Korrekturanleitungen zeitnah einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3614804

Hoch: Schwachstelle bezüglich der Offenlegung von Informationen in SAP NetWeaver AS für ABAP und ABAP-Plattform (Internet Communication Framework)

Produkt: SAP NetWeaver AS for ABAP and ABAP Platform(Internet Communication Manager), Version - KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.14, 9.15, 9.16

• Es besteht eine Schwachstelle zur Offenlegung von Informationen (CVE-2025-42935) in SAP NetWeaver AS für ABAP und der ABAP-Plattform, die es berechtigten Benutzern mit Administratorrechten und lokalem Zugriff auf Protokolldateien ermöglicht, sensible Informationen wie Authentifizierungstoken in Klartext einzusehen. Diese Lücke beeinträchtigt in hohem Maße die Vertraulichkeit, hat jedoch keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung.
• Die Ursache liegt in bestimmten Konfigurationen des ICM, bei denen über die Profilparameter icm/HTTP/logging_<x> oder icm/HTTP/logging_client_<x> mit speziellen LOGFORMAT-Einstellungen sämtliche Request- und Response-Header protokolliert werden. Dadurch können sensible Daten in HTTP-Protokolldateien gespeichert werden.
• SAP stellt mit diesem Sicherheitshinweis eine Korrektur bereit, bei der sensible Token in den Protokolldateien maskiert werden. Die Anpassung wird mit einem Kernel-Patch ausgeliefert, der in den aktuellen SP Stack Kernels enthalten ist. Administratoren sollten den neuesten Kernel-Patch gemäß den Empfehlungen in den Hinweisen 2083594, 1802333 einspielen.
• Als temporäre Lösung kann auf LOGFORMAT-Konfigurationen verzichtet werden, die alle Header-Felder vollständig protokollieren (z. B. SAPSMD2, SAPWEBDISP2, %{[?]}i).
• Mehr dazu finden Sie unter dem Hinweis: 3601480

Hoch: Offenlegung von Informationen in SAP GUI for Windows

Produkt: SAP GUI for Windows , Version - BC-FES-GUI 8.00

• Es besteht eine Schwachstelle zur Offenlegung von Informationen (CVE-2025-42943) in SAP GUI for Windows, bei der unter bestimmten Bedingungen NTLM-Hashes offengelegt werden können. Dies tritt auf, wenn ABAP-Frontend-Services mit UNC-Pfaden aufgerufen werden und kann zu einer erheblichen Beeinträchtigung der Vertraulichkeit führen.
• Für einen erfolgreichen Angriff muss der Angreifer über Entwicklerberechtigungen in einem Application Server ABAP verfügen, um den ABAP-Quelltext zu manipulieren. Führt das Opfer diesen manipulierten Code über SAP GUI for Windows aus, kann eine automatische NTLM-Authentifizierung ausgelöst werden, wodurch der NTLM-Hash des Windows-Benutzers offengelegt wird.
• Mit der bereitgestellten Korrektur wird sichergestellt, dass SAP GUI for Windows vor jedem Zugriff auf einen UNC-Pfad sein Sicherheitsmodul prüft. Abhängig von der Konfiguration wird der Zugriff zugelassen, blockiert oder der Benutzer um Erlaubnis gefragt (Standard).
• SAP empfiehlt, das Sicherheitsmodul so zu konfigurieren, dass nur erforderliche UNC-Pfade auf der Erlaubtliste stehen und alle anderen blockiert werden, um unnötige Benutzerabfragen zu vermeiden.
• Mehr dazu finden Sie unter dem Hinweis: 3627845

Hoch: Fehlende Berechtigungsprüfung in ABAP-Plattform

Produkt: ABAP Platform, Version - SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 916

• Es besteht eine Schwachstelle in der ABAP-Plattform (CVE-2025-42949), die es einem authentifizierten Benutzer mit erhöhten Berechtigungen ermöglicht, bestehende Zugriffsbeschränkungen für allgemeine Transaktionen zu umgehen. Durch die Nutzung der SQL-Konsole kann der Angreifer unberechtigt auf Inhalte von Datenbanktabellen zugreifen und diese lesen. Dies stellt eine erhebliche Gefährdung der Vertraulichkeit dar, während Integrität und Verfügbarkeit des Systems unberührt bleiben.
• Die Ursache liegt darin, dass ein Entwicklungsbenutzer mit Zugriff auf die Datenvorschaufunktion Benutzereinschränkungen umgehen kann, um in Views gespeicherte Daten einzusehen, obwohl entsprechende Berechtigungen zum Schutz dieser Daten konfiguriert wurden.
• Mit der im Sicherheitshinweis bereitgestellten Korrektur werden zusätzliche Berechtigungsprüfungen eingeführt, um sicherzustellen, dass nur berechtigte Benutzer auf sensible Daten zugreifen können.
• SAP empfiehlt, die im Hinweis genannten Support Packages oder Korrekturanleitungen zeitnah einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3626722

Update zu Code-Injection-Schwachstelle in SAP S/4HANA (Private Cloud oder On-Premise)

Produkt: SAP S/4HANA (Private Cloud or On-Premise), Version – S4CORE 102, 103, 104, 105, 106, 107, 108

• Der vorliegende SAP-Hinweis 3581961 wurde mit aktualisierten Informationen zu Support Packages und Patches neu freigegeben.
• Update zu Hinweis 3577131 - Schwachstelle bezüglich Berechtigungsumgehung in SAP NetWeaver
  Produkt: SAP NetWeaver, Version – SAP_ABA 700, 701, 702, 731, 740, 750, 751, 752, 75C, 75D, 75E, 75F, 75G, 75H, 75I
• Der vorliegende SAP-Hinweis wurde mit aktualisierten Informationen zur Korrekturanleitung erneut freigegeben.
• Es besteht eine Schwachstelle in SAP NetWeaver, die es einem angemeldeten Angreifer ermöglicht, Berechtigungsprüfungen zu umgehen und Teile von ABAP-Code anzuzeigen, für die normalerweise eine zusätzliche Validierung erforderlich wäre. Durch die Ausführung einer bestimmten Transaktion kann sensibler Systemcode ohne die nötigen Berechtigungen offengelegt werden, was die Vertraulichkeit des Systems gefährdet.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day August finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an René Studtmann.