Inhaltsverzeichnis
Kritisch (Hot News): Code-Injection-Schwachstelle in SAP CRM und SAP S/4HANA (Scripting Editor)
Produkt: SAP CRM and SAP S/4HANA (Scripting Editor)
Version - S4FND 102, 103, 104, 105, 106, 107, 108, 109, SAP_ABA 700, WEBCUIF 700, 701, 730, 731, 746, 747, 748, 800, 801
Es besteht eine kritische Code-Injection-Schwachstelle in dem SAP CRM und SAP S/4HANA (Scripting Editor), die es einem authentifizierten Angreifer ermöglicht, eine Sicherheitslücke in einem generischen Funktionsmodulaufruf auszunutzen und nicht autorisierte, kritische Funktionen auszuführen. Dies umfasst die Möglichkeit, beliebige SQL-Anweisungen auszuführen. Die Schwachstelle kann zu einem vollständigen Kompromittieren der Datenbank führen und hat erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des Systems.
Die Schwachstelle wurde mit einem CVSS-Score von 9,9 (kritisch) bewertet.
Durch diese Sicherheitslücke kann ein Angreifer beliebige SQL-Befehle in das System einschleusen, was zu einem vollständigen Verlust der Kontrolle über die Datenbank führt. Dies stellt ein erhebliches Risiko für die gesamte SAP-Landschaft dar.
Es ist kein Workaround für diese Sicherheitslücke verfügbar. SAP empfiehlt dringend, die in dem SAP-Sicherheitshinweis 3697099 referenzierten Korrekturanweisungen oder Support Packages zu implementieren.
Die bereitgestellte Korrektur fügt dem betroffenen Programm zusätzliche Allowlist-Prüfungen hinzu, um die Ausführung beliebiger Funktionsmodulaufrufe zu verhindern und somit die Code-Injection-Risiken zu beseitigen.
Kritisch (Hot News): Fehlende Autorisierungsprüfung in SAP NetWeaver Application Server ABAP und ABAP Platform
Produkt: SAP NetWeaver Application Server ABAP and ABAP Platform
Version - KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.18, 9.19
Es wurde eine schwerwiegende Sicherheitslücke in SAP NetWeaver Application Server ABAP und der ABAP Platform entdeckt, bei der ein authentifizierter, niedrig privilegierter Benutzer in bestimmten Fällen Remote Function Calls (RFC) ausführen kann, ohne über die erforderliche S_RFC-Autorisierung zu verfügen. Diese Schwachstelle hat erhebliche Auswirkungen auf die Integrität und Verfügbarkeit des Systems, stellt jedoch kein Risiko für die Vertraulichkeit der Anwendung dar.
Die Schwachstelle wurde mit einem CVSS-Score von 8,1 (hoch) bewertet.
Aufgrund fehlender konsistenter Autorisierungsprüfungen konnte das System in bestimmten Szenarien Aktionen außerhalb der berechtigten Benutzerprivilegien durchführen. Diese Sicherheitslücke gefährdet somit die Integrität des Systems, da unerlaubte RFC-Aufrufe potenziell sicherheitsrelevante Funktionen auslösen können. SAP hat die relevanten Autorisierungsprüfungen verstärkt, um sicherzustellen, dass nur Benutzer mit den entsprechenden Berechtigungen die RFC-Operationen ausführen können.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3674774 angegebenen Support Packages zu implementieren.
Die Korrektur erfordert möglicherweise zusätzliche S_RFC-Berechtigungen für bestimmte Benutzer. Für Kunden, die UCON verwenden, kann es notwendig sein, mehr Funktionen Ihrem CA zuzuweisen.
Hoch: XML Signature Wrapping in SAP NetWeaver AS ABAP und ABAP Platform
Produkt: SAP NetWeaver AS ABAP and ABAP Platform
Version - SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 804, SAP_BASIS 916, SAP_BASIS 917, SAP_BASIS 918
Es besteht eine kritische Schwachstelle im SAP NetWeaver Application Server ABAP und der ABAP Platform, bei der ein authentifizierter Angreifer mit normalen Benutzerrechten ein gültiges, signiertes XML-Dokument erhalten und dieses manipulierte, signierte XML-Dokument an den Verifizierer senden kann. Dies kann dazu führen, dass manipulierte Identitätsinformationen akzeptiert werden, was zu unbefugtem Zugriff auf sensible Benutzerdaten und einer möglichen Störung des normalen Systembetriebs führt.
Durch die Sicherheitslücke kann ein Angreifer die Integrität von signierten XML-Dokumenten umgehen und somit falsche Identitätsinformationen in das System einführen, was zu unbefugtem Zugriff auf sensible Daten führen kann.
Die SAP hat die betroffenen Funktionen verbessert, um die XML-Signaturen korrekt zu verifizieren und so diese Sicherheitslücke zu schließen.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3697567 angegebenen Support Packages und Patches zu implementieren.
Für die Authentifizierung können Sie SAML deaktivieren, jedoch gibt es keinen Workaround für andere Anwendungen von signierten XML-Dokumenten.
Hoch: Denial of Service (DoS) in SAP Supply Chain Management
Produkt: SAP Supply Chain Management Version - SCMAPO 713, 714, SCM 700, 701, 702, 712
Es besteht eine Denial-of-Service (DoS)-Schwachstelle in SAP Supply Chain Management, bei der ein authentifizierter Angreifer mit regulären Benutzerrechten und Netzwerkzugriff ein Remote-fähiges Funktionsmodul wiederholt mit einem übermäßig großen Schleifensteuerparameter aufrufen kann. Dies führt zu einer verlängerten Schleifen-Ausführung, die übermäßige Systemressourcen verbraucht und das System potenziell unbrauchbar macht. Die erfolgreiche Ausnutzung dieser Schwachstelle führt zu einer DoS-Bedingung, die die Verfügbarkeit des Systems beeinträchtigt, während die Vertraulichkeit und Integrität unbeeinträchtigt bleiben. Die betroffene Funktion wurde für Remote Function Calls (RFC) aktiviert, was es Angreifern ermöglicht, die Systemressourcen unkontrolliert zu verbrauchen und eine DoS-Attacke auszulösen.
Die SAP hat das Problem durch eine strengere Eingabevalidierung gemildert, die übermäßige Ressourcennutzung verhindert.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3703092 angegebenen Korrekturanweisungen oder Support Packages zu implementieren.
Hoch: Fehlende Autorisierungsprüfung im SAP Solution Tools Plug-In (ST-PI)
Produkt: SAP Solution Tools Plug-In (ST-PI) Version - ST-PI 2008_1_700, 2008_1_710, 740, 758
Es besteht eine Sicherheitslücke im SAP Solution Tools Plug-In (ST-PI), bei der ein Funktionsmodul keine notwendigen Autorisierungsprüfungen für authentifizierte Benutzer durchführt. Dies ermöglicht es, sensible Informationen offenzulegen. Diese Schwachstelle hat erhebliche Auswirkungen auf die Vertraulichkeit und beeinträchtigt nicht die Integrität oder Verfügbarkeit des Systems.
Durch das Fehlen der notwendigen Autorisierungsprüfungen konnten authentifizierte Benutzer auf Funktionen zugreifen, die sensible Informationen preisgaben.
Die SAP hat das betroffene Funktionsmodul so angepasst, dass keine sensiblen Informationen mehr offengelegt werden.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3705882 angegebenen Korrekturanweisungen oder Support Packages zu implementieren.
Hoch: Denial of Service (DoS) in SAP BusinessObjects BI Platform
Produkt: SAP BusinessObjects BI Platform Version - ENTERPRISE 430, 2025, 2027
Es besteht eine Denial-of-Service (DoS)-Schwachstelle in SAP BusinessObjects BI Platform, bei der ein nicht authentifizierter Angreifer eine spezifische Netzwerkanforderung an den vertrauenswürdigen Endpunkt senden kann, die die Authentifizierung unterbricht und legitime Benutzer daran hindert, auf die Plattform zuzugreifen. Dies führt zu einer hohen Auswirkung auf die Verfügbarkeit des Systems, während die Vertraulichkeit und Integrität unbeeinträchtigt bleiben.
Die Web-Anwendungsserver überprüften nicht, ob die spezifische Anfrage von einem legitimen System stammte, was es Angreifern ermöglichte, den Dienst zu blockieren und somit die Verfügbarkeit zu beeinträchtigen.
Die SAP hat das Problem behoben, indem Kunden nun in der Lage sind, den vertrauenswürdigen Endpunkt der Webanwendung mit mutual TLS (mTLS) zu konfigurieren, um nur Anfragen von vertrauenswürdigen Backend-Servern zu akzeptieren.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3678282 angegebenen Support Packages und Patches zu implementieren. Nach der Installation des Patches sollten Sie der Knowledge Base Artikel 3672038 folgen, um die Zertifikat-basierte Authentifizierung zu konfigurieren.
Hoch: Race Condition in SAP Commerce Cloud
Produkt: SAP Commerce Cloud Version - HY_COM 2205, COM_CLOUD 2211, COM_CLOUD 2211-JDK21
Es besteht eine Race Condition in SAP Commerce Cloud, die es einem authentifizierten Benutzer ermöglicht, die SSL-Vertrauensvalidierung für ausgehende Verbindungen zu umgehen. Dies geschieht aufgrund einer Synchronisierungsproblematik in der Eclipse Jersey-Bibliothek (CVE-2025-12383). Dies führt zu einem hohen Risiko für die Vertraulichkeit und Integrität, während die Verfügbarkeit der Anwendung nicht betroffen ist.
Das Problem tritt nur auf, wenn benutzerdefinierte Erweiterungen oder Integrationen Jersey-basierte ausgehende Verbindungen mit nicht standardmäßigen SSL-Vertrauenskonfigurationen nutzen und mehrere gleichzeitige Anfragen verarbeiten. Die Standardkonfiguration von SAP Commerce Cloud ist nicht betroffen.
Die SAP Commerce Cloud hat das Problem behoben, indem Eclipse Jersey auf eine Version aktualisiert wurde, die nicht anfällig für CVE-2025-12383 ist. Diese Korrektur ist in den folgenden Releases enthalten:
- SAP Commerce Cloud Patch Release 2205.47
- SAP Commerce Cloud Update Release 2211.49
- SAP Commerce Cloud Update Release 2211-jdk21.5
Es wird dringend empfohlen, die entsprechenden Patches oder Update-Releases zu installieren. Nach der Installation eines SAP Commerce Cloud Patches müssen Kunden die aktualisierte Version neu erstellen und neu bereitstellen.
Hoch: Open Redirect-Schwachstelle in SAP BusinessObjects Business Intelligence Platform
Produkt: SAP BusinessObjects Business Intelligence Platform Version - ENTERPRISE 430, 2025, 2027
Es besteht eine Open Redirect-Schwachstelle auf der SAP BusinessObjects Business Intelligence Platform, bei der ein authentifizierter Angreifer mit hohen Berechtigungen eine bösartige URL in der Anwendung einfügen kann. Nach erfolgreicher Ausnutzung könnte das Opfer auf diese bösartige URL klicken, was zu einer unvalidierten Weiterleitung auf eine vom Angreifer kontrollierte Domain führt und anschließend schadhafter Inhalt heruntergeladen wird. Diese Schwachstelle hat erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung, hat jedoch keinen Einfluss auf die Verfügbarkeit der Anwendung. Das Problem tritt auf, da die Anwendung Links ohne die notwendige Validierung teilt, was Angreifern ermöglicht, die Weiterleitung auf schadhafte Drittanbieter-URLs durchzuführen.
Die SAP hat serverseitige Whitelist-Mechanismen implementiert, um unvalidierte Weiterleitungen zu Drittanbieter-URLs zu verhindern.
Es wird dringend empfohlen, die in dem SAP-Sicherheitshinweis 3674246 angegebenen Support Package Patches zu implementieren.
Nähere Informationen zu allen veröffentlichten Sicherheitslücken des SAP Patch Day Februar finden Sie hier.
Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an René Studtmann.
