XXE-Sicherheitslücke in SAP NetWeaver AS Java – Guided Procedures
18. August 2025
XXE-Sicherheitslücke in SAP NetWeaver AS Java – Guided Procedures
Auswirkungen auf die Wirtschaft
Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit von SAP NetWeaver Java und ermöglichen zudem die Ausführung von SSRF oder das Abrufen von Dateien.Details zur Sicherheitslücke
Das Servlet „caf~eu~gp~model~iforms~eap“ in SAP NetWeaver Java löst beim Parsen der XML-Antwort des Form-Processors externe Entitäten auf. Angreifer könnten HTTP-Anfragen oder Dateizugriffe durch neue Entitäten referenzieren, wodurch der Parser das Ergebnis lädt, wenn die Entitäten eingebunden werden.Lösung
SAP hat den SAP-Hinweis 3426111 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://me.sap.com/notes/3426111 Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.Zeitachse des Berichts
- 01.08.2024: Onapsis übermittelt Daten an SAP
- 01.08.2024: SAP nimmt den Bericht zur Kenntnis
- 12.02.2024: SAP veröffentlicht einen SAP-Hinweis zur Behebung des Problems
Literaturverzeichnis
- Onapsis-Blogbeitrag: https://onapsis.com/blog/sap-patch-day-february-2024/
- CVE Mitre: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-24743
- Hersteller-Patch: https://me.sap.com/notes/3426111
Hinweise
- Veröffentlichungsdatum: 18.08.25
- Sicherheitshinweis-ID: ONAPSIS-2024-0022
- Forscher: Yvan Genuer
Informationen zur Sicherheitslücke
- Anbieter: SAP
- Betroffene Komponenten: SAP NetWeaver Java
- IS-OIL 807 SP18 und frühere Versionen (Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis 3426111)
- Sicherheitslücke: CWEA-611
- CVSS v3-Wert: 8,6 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
- Risikostufe: Hoch
- Zugewiesene CVE-Nummer: CVE-2024-24743
- Informationen zum Hersteller-Patch: SAP-Sicherheitshinweis 3426111
Über unsere Forschungslabore
Onapsis Research Labs bietet Branchenanalysen zu zentralen Sicherheitsfragen, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlichen regelmäßig aktuelle Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und langjährige Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke sowie fundierte Sicherheitsbeurteilungen zu liefern.Alle gemeldeten Sicherheitslücken finden Sie unter: https://github.com/Onapsis/vulnerability_advisories
Dieser Hinweis unterliegt einer Creative Commons 4.0 BY-ND International-Lizenz