Mehrere SAP-Anwendungen sind von SAP-Sicherheitshinweisen mit hoher Priorität betroffen

Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom Februar gehören:

• Zusammenfassung für Februar — 21 neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter sechs Hinweise mit hoher Priorität
• SAP-Hinweise mit hoher Priorität — SAP NetWeaver AS Java und SAP Business Objects mit den höchsten CVSS-Werten 
• Onapsis Research Labs — Unser Team hat SAP dabei unterstützt, fünf Sicherheitslücken zu beheben, die in vier SAP-Sicherheitshinweisen behandelt wurden

SAP hat im Rahmen seines Patch Day im Februar einundzwanzig neue und aktualisierte SAP-Sicherheitshinweise veröffentlicht, darunter sechs Hinweise mit hoher Priorität. Vier der neunzehn neuen Sicherheitshinweise wurden in Zusammenarbeit mit den Onapsis Research Labs veröffentlicht.

Die Notizen mit hoher Priorität im Detail

Der SAP-Sicherheitshinweis Nr. 3417627, der mit einem CVSS-Wert von 8,8 versehen ist, ist eine Aktualisierung zu einer Cross-Site-Scripting-Sicherheitslücke in SAP NetWeaver AS Java, die ursprünglich im Februar 2024 veröffentlicht wurde. Der aktualisierte Hinweis verweist auf den neuen SAP-Sicherheitshinweis Nr. 3557138, der mit einem CVSS-Wert von 6,1 versehen ist. Dieser neue Hinweis ist erforderlich, um die Sicherheitslücke vollständig zu beheben. 

Der SAP-Sicherheitshinweis Nr. 3525794, der mit einem CVSS-Wert von 8,7 bewertet wurde, behebt eine Sicherheitslücke aufgrund einer unzureichenden Autorisierungsprüfung in platform SAP BusinessObjects (SAP BO). Die Sicherheitslücke betrifft die Central Management Console von SAP BO und ermöglicht es einem Angreifer mit weitreichenden Berechtigungen, sich als beliebiger Benutzer im System auszugeben, indem er Zugriff auf die geheime Passphrase der vertrauenswürdigen Systeme erlangt.

Der SAP-Sicherheitshinweis Nr. 3567551, der mit einem CVSS-Wert von 8,6 bewertet wurde, wurde von SAP in Zusammenarbeit mit den Onapsis Research Labs ORL) behoben. Unser Team hat eine kritische Path-Traversal-Sicherheitslücke in einem öffentlich zugänglichen Servlet von SAP Supplier Relationship Management (Master Data Management Catalog) entdeckt. Dieses Servlet ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien der Anwendung herunterzuladen und so Zugriff auf potenziell sensible Daten zu erlangen.

Der SAP-Sicherheitshinweis Nr. 3567974, der mit einem CVSS-Wert von 8,1 bewertet wurde, betrifft SAP Approuter, einen Dienst, der als zentraler Zugangspunkt für verschiedene Backend-Dienste und Anwendungen im SAP-Ökosystem fungiert. Das SAP Approuter Node.js-Paket in den Versionen v16.7.1 und früher ist anfällig für eine Umgehung der Authentifizierung, was erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung hat.

Der SAP-Sicherheitshinweis Nr . 3567172, der mit einem CVSS-Wert von 7,5 versehen ist, behandelt mehrere Sicherheitslücken in SAP Enterprise Project Connection. Die Anwendung kann zur Datenintegration zwischen bestimmten SAP-Anwendungen, wie dem Projektsystem oder dem Instandhaltungsmanagement, und ausgewählten Projektmanagementsystemen von Drittanbietern, darunter Microsoft Project und Oracle Primavera, verwendet werden. SAP Enterprise Project Connection nutzt Versionen von Open-Source-Bibliotheken des Spring Frameworks, die für die Schwachstellen CVE-2024-38819, CVE-2024-38820 und CVE-2024-38828 anfällig sein könnten. Hinweis: Laut SAP endet das allgemeine Mainstream-Wartungsfenster für SAP Enterprise Project Connection 3.0 (SAP ENTERPR PROJ CONN 3.0) am 14. Oktober 2025.

Das ORL hat zur Behebung einer weiteren SAP-Sicherheitsmitteilung mit hoher Priorität beigetragen. Die SAP-Sicherheitsmitteilung Nr . 3563929, die mit einem CVSS-Wert von 7,1 versehen ist, behebt eine Open-Redirect-Sicherheitslücke in den erweiterten Anwendungsdiensten von SAP HANA. Das ORL-Team identifizierte eine Schwachstelle im User Account and Authentication Service (UAA), die es nicht authentifizierten Angreifern ermöglicht, einen bösartigen Link zu erstellen, der den Browser aufgrund unzureichender Validierung der Weiterleitungs-URL auf eine bösartige Website umleitet, sobald ein Opfer darauf klickt.

Beitrag von Onapsis

Neben den SAP-Sicherheitshinweisen mit hoher Priorität Nr . 3567551 und Nr . 3563929 trug das Team Onapsis Research Labs ORL) dazu bei, am SAP-Patch-Day im Februar drei weitere Sicherheitslücken zu schließen.

Der SAP-Sicherheitshinweis Nr. 3561264, der mit einem CVSS-Wert von 5,3 bewertet wurde, behebt eine Sicherheitslücke im SAP NetWeaver Application Server AS ABAP, die zur Offenlegung von Informationen führen kann. Die Sicherheitslücke betrifft Kunden, die die ICF-Dienste /sap/public/bc/workflow/shortcut bzw. /sap/bc/workflow/shortcut aktiviert haben. Je nach Vorhandensein eines bestimmten Benutzers kann ein Angreifer Zugriff auf sensible Informationen erlangen.

Der SAP-Sicherheitshinweis Nr. 3547581, der mit einem CVS-Wert von 4,3 bewertet wurde, behebt zwei Sicherheitslücken in SAP NetWeaver und platform ST-PI), die durch fehlende Berechtigungsprüfungen entstanden sind und es unbefugten Benutzern ermöglichen, auf sensible Systeminformationen zuzugreifen.

Zusammenfassung und Schlussfolgerungen

Mit 21 SAP-Sicherheitshinweisen, darunter sechs Hinweise mit hoher Priorität, ist der SAP-Patch-Day im Februar besonders umfangreich. Wir sind froh und stolz darauf, dass unser Team von den Onapsis Research Labs erneut einen wesentlichen Beitrag zur Sicherheit von SAP-Kunden auf der ganzen Welt Onapsis Research Labs .

Wie immer Onapsis Research Labs bereits Onapsis Research Labs , die Platform zu aktualisieren und die neu veröffentlichten Sicherheitslücken in das Produkt zu integrieren, damit unsere Kunden ihre Unternehmen schützen können.

Wenn Sie mehr über die neuesten SAP-Sicherheitsprobleme und unsere kontinuierlichen Bemühungen erfahren möchten, Wissen mit der Sicherheits-Community zu teilen, abonnieren Sie unseren monatlichen „Defender’s Digest Onapsis“-Newsletter.