SAP Basis & Security SAP Patch Day Oktober 2025

Kritisch: Unsichere Deserialisierung in SAP NetWeaver AS Java

Produkt: SAP NetWeaver AS Java, Version - SERVERCORE 7.50

• Es besteht eine kritische Sicherheitslücke durch unsichere Deserialisierung in SAP NetWeaver AS Java, die es einem nicht authentifizierten Angreifer ermöglicht, das System über das RMI-P4-Modul auszunutzen, indem er schädliche Payloads an einen offenen Port sendet.
• Die Schwachstelle gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 10,0 (kritisch) bewertet.
• Diese Sicherheitslücke erlaubt die Deserialisierung von nicht vertrauenswürdigen Java-Objekten, was zu beliebiger Betriebssystem-Befehlsausführung führen kann. Das System ist anfällig, wenn speziell präparierte Eingaben von der AS Java-Laufzeitumgebung deserialisiert werden.
• SAP stellt einen konfigurationsbasierten Fix zur Verfügung, der die unsichere Deserialisierung in der SAP NetWeaver AS Java-Laufzeitumgebung verhindert. Die Korrektur blockiert anfällige JDK- und Drittanbieter-Klassen und härtet das System gegen diese Art von Angriffen ab.

Wichtige Voraussetzungen für die Implementierung:

• Eine Java Virtual Machine mit Version größer als Java 8u121 (18. April 2017) muss installiert sein.
• Die Datei bootstrap.properties muss die Eigenschaft element.resynch auf DETECT gesetzt haben.
• Vor der Anwendung sollte eine SCA-Abhängigkeitsanalyse durchgeführt werden, um Inkompatibilitäten zu vermeiden.
• Als temporärer Workaround kann der Parameter jdk.serialFilter auf JVM-Ebene hinzugefügt werden, um zu beschränken, welche Klassen deserialisiert werden können. SAP empfiehlt jedoch dringend, die bereitgestellten Patches zu implementieren, da der Workaround nur eine vorübergehende Lösung darstellt.

Mehr dazu finden Sie unter dem Hinweis: 3660659

Kritisch: Unsichere Deserialisierung in SAP NetWeaver (RMI-P4)

Produkt: SAP NetWeaver AS Java, Version - SERVERCORE 7.50

• Es besteht eine kritische Deserialisierungs-Schwachstelle in SAP NetWeaver, die es einem nicht authentifizierten Angreifer ermöglicht, das System über das RMI-P4-Modul auszunutzen, indem er schädliche Payloads an einen offenen Port sendet.
• Die Schwachstelle gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 10,0 (kritisch) bewertet.
• Diese Sicherheitslücke ermöglicht die Deserialisierung von nicht vertrauenswürdigen Java-Objekten, was zu beliebiger Betriebssystem-Befehlsausführung führen kann. Die Schwachstelle betrifft die P4-Lib-Komponente, die unsichere Deserialisierung nicht ausreichend einschränkt.
• Das Problem wurde durch die Aktualisierung der betroffenen P4-Lib-Komponente behoben, um eine sichere Deserialisierungsbehandlung zu erzwingen und die Annahme von nicht vertrauenswürdigen Java-Objekten über das RMI-P4-Modul zu beschränken. Voraussetzung für die Anwendung des Patches ist eine Java Virtual Machine mit einer Version größer als Java 8u121 (18. April 2017).
• Als temporärer Workaround sollte sichergestellt werden, dass das System auf Netzwerkebene isoliert ist und die P4/P4S-Ports nicht von unsicheren Netzwerken aus erreichbar sind. Dies betrifft nur AS Java (wo ICM verwendet wird), nicht den Web Dispatcher, da dieser das P4/P4S-Protokoll nicht unterstützt. SAP empfiehlt jedoch dringend, die bereitgestellten Korrekturen zu implementieren, da der Workaround nur eine vorübergehende Lösung darstellt.

Am 14. Oktober 2025 wurde dieser Hinweis aktualisiert mit dem Verweis auf die zusätzliche Härtungsmaßnahme in SAP-Hinweis 3660659.

Mehr dazu finden Sie unter dem Hinweis: 3634501

Kritisch: Directory-Traversal-Schwachstelle in SAP Print Service

Produkt: SAP Print Service (SAPSprint), Versionen - SAPSPRINT 8.00, 8.10

• Es besteht eine kritische Directory-Traversal-Schwachstelle in SAP Print Service (SAPSprint), die auf eine unzureichende Validierung von Pfadinformationen zurückzuführen ist, die von Benutzern bereitgestellt werden.
• Die Schwachstelle gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 9,8 (kritisch) bewertet.
• Diese Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer, zum übergeordneten Verzeichnis zu navigieren und Systemdateien zu überschreiben. Durch die fehlende Pfadvalidierung kann ein Angreifer mittels speziell präparierter Pfadangaben aus dem vorgesehenen Verzeichnis ausbrechen und auf beliebige Dateien im Dateisystem zugreifen oder diese manipulieren.
• Es ist kein Workaround für diese Sicherheitslücke verfügbar. SAP empfiehlt dringend, die in diesem SAP-Sicherheitshinweis referenzierten Korrekturanweisungen oder Support Packages zu implementieren.
• Die bereitgestellte Korrektur validiert die von Benutzern bereitgestellten Pfadinformationen ordnungsgemäß und verhindert so, dass Angreifer auf Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen oder Systemdateien überschreiben können.

Mehr dazu finden Sie unter dem Hinweis: 3630595

Kritisch: Uneingeschränkte Datei-Upload-Schwachstelle in SAP Supplier Relationship Management

Produkt: SAP Supplier Relationship Management, Versionen - SRMNXP01 100, 150

• Es besteht eine kritische Schwachstelle für uneingeschränkten Datei-Upload in SAP Supplier Relationship Management, die auf eine fehlende Überprüfung von Dateityp oder -inhalt zurückzuführen ist.
• Die Schwachstelle gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 9,0 (kritisch) bewertet.
• Diese Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, beliebige Dateien hochzuladen. Diese Dateien könnten ausführbare Programme enthalten, die Schadsoftware beherbergen und von anderen Benutzern heruntergeladen und ausgeführt werden könnten. Die fehlende Validierung von MIME-Typen und Dateierweiterungen ermöglicht es Angreifern, potenziell gefährliche Dateitypen in das System einzuschleusen.
• Es ist kein Workaround für diese Sicherheitslücke verfügbar. SAP empfiehlt dringend, die in diesem SAP-Sicherheitshinweis referenzierten Korrekturanweisungen oder Support Packages zu implementieren.
• Die bereitgestellte Korrektur implementiert eine ordnungsgemäße Validierung von MIME-Typen und Dateierweiterungen und stellt sicher, dass nur sichere Dateitypen in das System hochgeladen werden können. Dies verhindert, dass Angreifer ausführbare Dateien oder andere gefährliche Dateitypen einschleusen können.

Mehr dazu finden Sie unter dem Hinweis: 3647332

Hoch: Denial-of-Service-Schwachstelle in SAP Commerce Cloud (Search and Navigation)

Produkt: SAP Commerce Cloud, Versionen - HY_COM 2205, COM_CLOUD 2211, 2211-JDK21

• Es besteht eine Denial-of-Service-Schwachstelle in SAP Commerce Cloud Search and Navigation, die auf einen Fehler im HTTP/2-Protokoll der verwendeten Jetty-Komponente zurückzuführen ist.
• Die Schwachstelle gefährdet die Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 7,5 (hoch) bewertet.
• Diese Sicherheitslücke ermöglicht es einem bösartigen Client, weitere Streams zu öffnen und speziell präparierte Anfragen zu senden, die den Server dazu veranlassen, die Streams zurückzusetzen und übermäßige Ressourcen in kurzer Zeit zu verbrauchen. Ein Angreifer kann beispielsweise WINDOW_UPDATE-Frames mit einer Fenstergrößenerhöhung von 0 senden, was laut Spezifikation illegal ist und den Server zwingt, RST_STREAM-Frames zu senden. Dadurch kann der Client in kurzer Zeit eine enorme Anzahl von Streams erzeugen und so CPU und Speicher des Servers erschöpfen.

SAP Commerce behebt diese Schwachstelle durch ein Upgrade der http2-common-Bibliothek von Jetty auf die neueste Version. Die folgenden SAP Commerce Patch-Releases enthalten die aktualisierten Jetty-Bibliotheken:

• SAP Commerce Cloud Patch Release 2211-jdk21.2
• SAP Commerce Cloud Patch Release 2211.45
• SAP Commerce Cloud Patch Release 2205.43

Nach der Installation eines SAP Commerce-Patches müssen Kunden die aktualisierte SAP Commerce-Version neu erstellen und bereitstellen. Die genauen Anweisungen variieren je nach Deployment-Modell (Public Cloud, SAP Infrastructure oder On-Premise).

Mehr dazu finden Sie unter dem Hinweis: 3664466

Hoch: Code-Execution-Schwachstelle in SAP Datahub Suite durch Apache CXF

Produkt: SAP Datahub Suite mit Apache CXF 3.5.1

• Es besteht eine kritische Sicherheitslücke in SAP Datahub Suite durch die Verwendung von Apache CXF 3.5.1-Bibliotheken mit JMS/JNDI-Konfiguration, die es einem nicht authentifizierten Angreifer ermöglicht, bösartige RMI/LDAP-Endpunkte zu konfigurieren.
• Die Schwachstelle gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich und wurde mit einem CVSS Score von 9,8 (kritisch) bewertet.
• Diese Sicherheitslücke ermöglicht es einem Angreifer, JMS-Einstellungen zu manipulieren und schädliche RMI- oder LDAP-URLs zu verwenden, was zu Code-Execution-Fähigkeiten führen kann. Die Schwachstelle kann ausgenutzt werden, wenn ein Angreifer JMS-Einstellungen ändern kann und das System ausgehende RMI/LDAP-Verbindungen zulässt.

SAP Data Hub Integration Suite behebt die Schwachstelle durch ein Upgrade von Apache CXF auf Version 3.6.8, die nicht anfällig für CVE-2025-48913 ist. Die aktualisierten Bibliotheken umfassen:

• cxf-core-3.6.8
• cxf-rt-bindings-soap-3.6.8
• cxf-rt-bindings-xml-3.6.8
• cxf-rt-databinding-jaxb-3.6.8
• cxf-rt-frontend-jaxws-3.6.8
• cxf-rt-frontend-simple-3.6.8
• cxf-rt-transports-http-3.6.8
• cxf-rt-wsdl-3.6.8

Die Korrektur beschränkt die JMS-Schnittstelle, sodass RMI- und LDAP-Protokolle abgelehnt werden und diese Angriffsmöglichkeit eliminiert wird. Kunden sollten das neueste Datahub Integration Extension Pack (SAP Commerce Integration Extension Pack Patch Release 2205.17) herunterladen und installieren.

Mehr dazu finden Sie unter dem verwiesenen Sicherheitshinweis.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day Oktober finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an René Studtmann.