Schutz vor Zero-Day-Sicherheitslücken bei SAP: CVE-2025-31324 & CVE-2025-42999

Neue Sicherheitslösungen zum Schutz von SAP vor Ransomware und Datenlecks

Eine Frau sitzt an einem Computer, umgeben von abstrakten Darstellungen von Programmierung und Technologie

CVE-2025-31324

Notfall-Patch veröffentlicht

Am 24. April 2025 veröffentlichte SAP einen Notfall-Patch für eine Zero-Day-Sicherheitslücke mit einem CVSS-Wert von 10,0, die SAP Visual Composer betrifft – eine optionale, aber weit verbreitete Komponente, die weltweit in 50 bis 70 % der SAP-Java-Systeme installiert ist.

CVE-2025-31324

Bestätigte aktive Ausnutzung

Diese Sicherheitslücke wird derzeit aktiv ausgenutzt, wie von Onapsis Threat Intelligence mehreren IR-Unternehmen und Sicherheitsforschern festgestellt wurde. Sie wurde erstmals von ReliaQuest öffentlich gemeldet.

CVE-2025-42999

Gemeinsam ausgebeutet

Onapsis Research Labs hat festgestellt, dass CVE-2025-31324 häufig zusammen mit CVE-2025-42999 (unsichere Deserialisierung in SAP Visual Composer) für die nicht authentifizierte Remote-Codeausführung genutzt wird. SAP hat dies mit dem Sicherheitshinweis 3604119 (13. Mai 2025) behoben. Die Installation beider Patches ist unerlässlich.

CVE-2025-42999

Verkettete Sicherheitslücken ermöglichen unauthentifizierte Remote-Code-Ausführung

CVE-2025-42999 wird in Kombination mit CVE-2025-31324 deutlich gefährlicher, da Angreifer dadurch in die Lage versetzt werden, schädliche Payloads ohne Authentifizierung hochzuladen und auszuführen. Diese Kombinationsmethode wurde bereits bei realen Angriffen beobachtet und führt zur vollständigen Remote-Codeausführung.

Frau, die am Computer arbeitet

Lesen Sie unsere Informationsseite, um mehr über die Bedrohung und die möglichen geschäftlichen Auswirkungen dieser kritischen Zero-Day-Sicherheitslücke zu erfahren und Empfehlungen sowie Tools zur Risikominderung zu erhalten:

  • Einzelheiten zu den Sicherheitslücken CVE-2025-31324 und CVE-2025-42999.
  • Bericht über aktive Angriffe in freier Wildbahn und Beobachtungen von Onapsis Research Labs.
  • Wie Sie feststellen können, ob Sie ausgenutzt wurden.
  • Empfehlungen dazu, wie Sie diese Sicherheitslücke in Ihren kritischen SAP-Systemen beheben oder abmildern können.
  • Erhalten Sie Zugriff auf Open-Source-Scan-Tools und eine YARA-Regel von Onapsis Research Labs.
Lesen Sie die neuesten Sicherheitswarnungen

Eine Analyse der Sicherheitslücken CVE-2025-31324 und CVE-2025-42999

CVE-2025-31324 ist eine kritische Zero-Day-Sicherheitslücke in der SAP NetWeaver Visual Composer-Komponente mit einem CVSS-Wert von 10,0. Diese Schwachstelle wird derzeit aktiv ausgenutzt und ermöglicht die nicht authentifizierte Remote-Code-Ausführung (RCE), wodurch sie ein unmittelbares Risiko für anfällige SAP-Java-Systeme darstellt. In vielen beobachteten Angriffen wird sie mit CVE-2025-42999, einer verwandten Deserialisierungsschwachstelle, kombiniert, um eine vollständige Kompromittierung des Systems ohne vorherigen Zugriff zu ermöglichen.

Betroffene Komponente

Die Sicherheitslücken befinden sich im Endpunkt „developmentserver/metadatauploader“ innerhalb von SAP Visual Composer (NetWeaver 7.x). Obwohl Visual Composer standardmäßig nicht installiert ist, ist es in etwa 50–70 % der SAP-Java-Systeme aktiviert, da es in der Vergangenheit für die Entwicklung von Geschäftsanwendungen ohne Programmieraufwand genutzt wurde. Sowohl CVE-2025-31324 als auch CVE-2025-42999 nutzen diese Komponente aus – die eine ermöglicht nicht authentifizierte Datei-Uploads, die andere nutzt unsichere Deserialisierung zur Codeausführung.

Ausbeutungsmethode

Angreifer nutzen diese Schwachstelle aus, indem sie nicht authentifizierte HTTP-POST -Anfragen an den anfälligen Endpunkt senden, wodurch das Hochladen beliebiger Dateien ermöglicht wird – typischerweise Web-Shells wie „helper.jsp“ oder „cache.jsp“. In beobachteten Angriffsketten enthält die hochgeladene Nutzlast häufig serialisierte Objekte, die bei der Deserialisierung die Schwachstelle CVE-2025-42999 auslösen und so die Ausführung von Code ermöglichen. Eine erfolgreiche Ausnutzung führt zu einer vollständigen Kompromittierung des Systems mit Administratorrechten.

Erkennung und Anzeichen für eine Kompromittierung

Systeme, die über CVE-2025-31324 kompromittiert wurden, enthalten häufig verdächtige .jsp-, .class- oder .java-Dateien in den folgenden Verzeichnissen:

  • /irj/root/
  • /irj/arbeit/
  • /irj/work/sync/

Achten Sie bei Angriffsketten, dieCVE-2025-42999 betreffen, auf Hinweise auf serialisierte Java-Objekte oder Payloads im Zusammenhang mit der Deserialisierung, die in hochgeladenen Dateien eingebettet sind. Siehe SAP-Hinweis 3596125 .

Anleitung zur Risikominderung und zur Installation von Patches

  • Installieren Sie den Notfall-Patch aus dem SAP-Sicherheitshinweis 3594142, um die Sicherheitslücke CVE-2025-31324 zu beheben
  • Installieren Sie den SAP-Sicherheitshinweis 3604119, veröffentlicht am 13. Mai 2025, um die Sicherheitslücke CVE-2025-42999 zu beheben
  • Falls ein Patch nicht sofort installiert werden kann, befolgen Sie die Maßnahmen zur Risikominderung in SAP-Hinweis 3593336
  • Lesen Sie die vollständige technische Zusammenfassung unter wie Sie die SAP-Zero-Day-Sicherheitslücke CVE-2025-31324 beheben können , um die Funktionsweise des Exploits zu verstehen und nach Indikatoren für eine Kompromittierung zu suchen.
  • Onapsis Assess ermöglicht die Identifizierung von Systemen ohne Patches in Ihrer gesamten SAP-Landschaft
  • Onapsis Defend erkennt böswillige POST-Aktivitäten, die auf SAP Visual Composer abzielen, und gibt entsprechende Warnmeldungen aus
Details und Zeitachse zu CVE-2025-31324 Details und Zeitachse zu CVE-2025-42999 Anzeichen für eine Kompromittierung Beobachtete IP-Adressen Auswirkungen von CVE-2025-31324 auf das Geschäft Maßnahmen zur Behebung von CVE-2025-31324

Warum Onapsis Research Labs?

Onapsis Research Labs hat im Januar 2025 als erstes Aufklärungsaktivitäten im Zusammenhang mit CVE-2025-31324 beobachtet, Wochen bevor die Sicherheitslücke offiziell identifiziert wurde. Seitdem hat unser Team:

  • Aktive Ausnutzung in verschiedenen Kundenumgebungen wurde festgestellt und dokumentiert
  • in enger Abstimmung mit SAP und den Incident-Response-Teams
  • In Zusammenarbeit mit Mandiant wurde ein Open-Source-IOC-Scanner veröffentlicht
  • Bereitstellung umfassender threat intelligence und Leitlinien zur Risikominderung für die SAP-Sicherheitsgemeinschaft

Als weltweit erfahrenstes SAP-Cybersicherheits-Forschungsteam ist Onapsis weiterhin führend in den Bereichen Echtzeit-Erkennung, schnelle Reaktion und umsetzbare Erkenntnisse. Nachstehend finden Sie weitere Informationen zur SAP-Sicherheit sowie Ressourcen zu CVE-2025-31324:

WEBINAR AUF ABRUF

Onapsis und Mandiant: Neueste Erkenntnisse zu CVE-2025-31324

Kritische SAP-Zero-Day-Sicherheitslücke wird derzeit aktiv ausgenutzt

In diesem Webinar mit Mandiant erhalten Sie aus erster Hand Einblicke von führenden threat intelligence über die aktive SAP-Zero-Day-Sicherheitslücke (CVE-2025-31324), ihre praktischen Auswirkungen und darüber, wie Ihr Team effektiv darauf reagieren kann.

Jetzt ansehen

Ähnliche Artikel

Security Week – Nachrichten, Einblicke und Analysen zur Cybersicherheit
Bleeping Computer
Das Register
SAP Insider
ERP heute
Help Net Security

CVE-2025-31324 – Häufig gestellte Fragen

Ja, SAP NetWeaver Java 7.0 mit dem Visual Composer Framework ist in hohem Maße anfällig für die Sicherheitslücke CVE-2025-31324. SAP bietet für diese spezifische Version von NetWeaver Java keinen Support mehr an und wird keine Sicherheitspatches zur Behebung der Sicherheitslücke veröffentlichen. Sicherheitsteams müssen die in SAP-Hinweis 3593336 beschriebenen Maßnahmen zur Umgehung des Problems befolgen und einen Plan zur Aktualisierung des Systems auf eine unterstützte NetWeaver-Java-Version erstellen.

Ja, SAP-Umgebungen ohne Internetanbindung sind weiterhin anfällig für CVE-2025-31324. Durch die Unterbindung des Internetzugangs wird lediglich die Häufigkeit automatisierter Ausnutzungsversuche verringert. Die Sicherheitslücke ist nach wie vor kritisch und erfordert sofortige Maßnahmen. Angreifer nutzen automatisierte Exploit-Tools und Techniken zur lateralen Bewegung innerhalb kompromittierter Netzwerke, um Angriffe durchzuführen. Ransomware-Betreiber nutzen häufig den Zugriff auf interne Netzwerke, um schädliche Payloads zu verbreiten.

Alle Organisationen und Branchen sind einem hohen Risiko durch die Ausnutzung der Sicherheitslücke CVE-2025-31324 ausgesetzt. Die von Onapsis Research Labs beobachteten Bedrohungsaktivitäten deuten auf eine weit verbreitete, opportunistische Ausnutzung über HTTP hin. Zwar sind Sektoren der kritischen Infrastruktur besonders stark gefährdet, doch aufgrund der grundlegenden Natur der Sicherheitslücke müssen alle Organisationen, die die betroffene Komponente einsetzen, unverzüglich Abhilfemaßnahmen ergreifen.

Nein, Ransomware-Angriffe auf SAP-Systeme beschränken sich nicht auf bestimmte Betriebssysteme. Angreifer zielen aufgrund der etablierten Ransomware-Tools häufig auf Windows-basierte Betriebssysteme ab. Allerdings sind auch Nicht-Windows-Umgebungen, in denen SAP-Systeme betrieben werden, nach wie vor in hohem Maße anfällig für Angriffe und den anschließenden Einsatz von Ransomware.

Sicherheitsadministratoren müssen die Komponenten des SAP-Systems auflisten und auf „VISUAL COMPOSER FRAMEWORK“ oder „VCFRAMEWORK“ überprüfen.

  • Voraussetzungen: Administratorrechte für das SAP NetWeaver Administrator (NWA)-Portal oder eine aktive Onapsis- Assess -Lizenz.
  • Schritt-für-Schritt-Anleitung:
    1. Rufen Sie die Liste der SAP-Systemkomponenten auf.
    2. Suchen Sie nach den Begriffen „VISUAL COMPOSER FRAMEWORK“ oder „VCFRAMEWORK“.
    3. Sollte dies festgestellt werden, wenden Sie bitte umgehend den SAP-Sicherheitshinweis 3594142 an.
    4. Alternativ können Sie die in SAP-Hinweis 3593336 beschriebenen Abhilfemaßnahmen umsetzen, um die Erreichbarkeit von Komponenten einzuschränken.
  • Überprüfung: Führen Sie den von Onapsis Research Labs veröffentlichten Open-Source-Scanner aus oder nutzen Sie Onapsis Assess, um die Systemanfälligkeiten in der gesamten SAP-Landschaft programmgesteuert zu überprüfen.

SAP Solution Manager 7.2 ist nur betroffen, wenn das Visual Composer Framework während des Installationsvorgangs mitinstalliert wurde. Systemadministratoren müssen die Java-Komponenten der jeweiligen Java-SID überprüfen, um festzustellen, ob die Komponente „VISUAL COMPOSER FRAMEWORK“ oder „VCFRAMEWORK“ vorhanden ist.

CVE-2025-31324 wurde als Zero-Day-Sicherheitslücke entdeckt, als sie bereits aktiv und in großem Umfang in der Praxis ausgenutzt wurde. Die Sicherheitslücke wurde vor ihrer Ausnutzung nicht verantwortungsbewusst von einem Sicherheitsforscher offengelegt. Angreifer nutzten die Schwachstelle vor ihrer Entdeckung aktiv in SAP-Anwendungen weltweit aus. DFIR-Dienste und Onapsis Research Labs beobachteten eine anhaltende Ausnutzung in Produktionsumgebungen.

Weiterführende Literatur

Möchten Sie sich näher damit befassen? Beginnen Sie mit diesen verwandten Artikeln und besuchen Sie dann unsere Seite „Ressourcen“, um weitere Informationen zu erhalten.

ALLE RESSOURCEN
Zwei Männer, die gemeinsam am Computer programmieren

Mit Onapsis Research Labs Sicherheitslücken immer einen Schritt voraus sein

Cybersicherheit erfordert proaktive Maßnahmen, und der Schutz Ihrer SAP-Systeme vor ausgenutzten Schwachstellen ist von entscheidender Bedeutung. Zögern Sie nicht – wenden Sie sich noch heute an uns, um die Sicherheit Ihrer SAP-Umgebung zu verbessern. Gemeinsam können wir sicherstellen, dass Ihre Systeme widerstandsfähig bleiben und vor neuen Bedrohungen geschützt sind.

Kontaktieren Sie uns