SAP BEx – Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

13. März 2026

SAP BEx – Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

Auswirkungen auf das Geschäft

Ein authentifizierter Angreifer kann bei anderen Benutzern einen Denial-of-Service-Zustand herbeiführen, wodurch diese nicht mehr über das SAP GUI auf das System zugreifen können. Zudem kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen Geschäftsanwender führt.

Details zur Sicherheitslücke

Ein für den Fernzugriff freigegebener Funktionsbaustein in SAP BEx, BX_FAVOS_WRITE_ALL_NODES, führt keine ausreichenden Berechtigungsprüfungen durch und verfügt über keine ordnungsgemäße Validierung benutzergesteuerter Schlüssel. Dies ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, andere Benutzer im System anzugreifen.

Durch das Senden speziell gestalteter Anfragen an diesen Funktionsbaustein kann ein Angreifer die Favoritenknoten eines beliebigen Zielbenutzers ändern oder löschen. Darüber hinaus kann die Sicherheitslücke ausgenutzt werden, um innerhalb der Sitzung des Zielbenutzers einen Ressourcenmangel (insbesondere einen Heap-Speicherengpass) auszulösen.

Dies führt zu einem Absturz des SAP GUI und verhindert, dass sich der betroffene Benutzer wieder erfolgreich im System anmeldet, was zu einem Denial-of-Service führt.

Lösung

SAP hat den SAP-Hinweis 3488039 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält.

Die Patches können unter https://me.sap.com/notes/3488039 heruntergeladen werden. 

Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.

Zeitachse des Berichts

  • 04.06.2024: Onapsis meldet SAP eine Sicherheitslücke
  • 10.09.2024: SAP veröffentlicht den Patch

Literaturverzeichnis

Hinweise

  • Veröffentlichungsdatum: 13.03.2026
  • Sicherheitshinweis-ID: ONAPSIS-2024-0008
  • Forscher: Adrian Rădulescu

Informationen zur Sicherheitslücke

  • Anbieter: SAP
  • Betroffene Komponenten:
    • SAP NetWeaver ABAP
    • SAP Business Explorer (BEx)
      (Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis 3488039)
  • Sicherheitslücke: CWE-284: Unzureichende Control
  • CVSS v3-Bewertung: 5,4 (CVSS:3,0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L)
  • Risikostufe: Mittel
  • Zugewiesene CVE-Nummer: CVE-2024-45285
  • Informationen zum Hersteller-Patch: SAP-Sicherheitshinweis 3488039

Betroffene Komponenten – Beschreibung

Die Sicherheitslücke betrifft Komponenten innerhalb von SAP NetWeaver ABAP, die die Business Explorer (BEx)-Funktionalität unterstützen. Konkret betrifft sie die Verwaltung benutzerdefinierter Favoritenknoten und Menüstrukturen innerhalb der SAP-GUI-Umgebung.

Über unsere Forschungslabore

Onapsis Research Labs bietet Branchenanalysen zu wichtigen Sicherheitsfragen, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlicht regelmäßig zeitnahe Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke mit fundierten Sicherheitsbeurteilungen zu liefern.

Alle gemeldeten Sicherheitslücken finden Sie unter: https://github.com/Onapsis/vulnerability_advisories

Dieser Hinweis unterliegt einerCreative-Commons-Lizenz 4.0 BY-ND International.

Zurück zu den Hinweisen

Weiterführende Literatur

Hinweis

Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

Auswirkungen von Denial-of-Service-Angriffen und der willkürlichen Änderung bzw. Löschung von Favoriten auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen Geschäftsanwender führt….

Weiterlesen
Hinweis

Offene Weiterleitung im SAP HANA XSA UAA-Server

Auswirkungen der „Open Redirect“-Sicherheitslücke im SAP HANA XSA UAA Server auf den Geschäftsbetrieb Die „Open Redirect“-Sicherheitslücke ermöglicht es Angreifern, Benutzer auf beliebige Websites umzuleiten und Phishing-Angriffe durchzuführen. Die Phisher können dann die Anmeldedaten der Opfer oder andere wichtige Daten stehlen, die in weiteren Angriffsketten genutzt werden können. Dies hat begrenzte Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der…

Weiterlesen
Hinweis

Denial-of-Service-Angriffe (DOS) in SAP NetWeaver und auf platform ABAP platform

Denial-of-Service (DOS) in SAP NetWeaver und auf platform! Auswirkungen auf den Geschäftsbetrieb Ein Angreifer kann aus der Ferne alle Workprozesse eines SAP-Systems blockieren, das auf SAP NetWeaver als ABAP-Plattform läuft. Dies hat sehr gravierende negative Auswirkungen auf die Verfügbarkeit des Systems und seiner Geschäftsanwendungen. Details zur Sicherheitslücke Ein bestimmter, für den Fernzugriff freigegebener Funktionsbaustein aus /SDF/EWA…

Weiterlesen