-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in SAP-producten Advisory ID : NCSC-2026-0485 Versie : 1.00 Kans : medium CVE ID : CVE-2026-44768, CVE-2026-73635, CVE-2026-76964, CVE-2026-76965, CVE-2026-76966, CVE-2026-76970, CVE-2026-76973, CVE-2026-76976, CVE-2026-89103, CVE-2026-89114, CVE-2026-89115, CVE-2026-89119, CVE-2026-89125, CVE-2026-89126, CVE-2026-89128, CVE-2026-89129, CVE-2026-89131, CVE-2026-109793, CVE-2026-109794, CVE-2026-109795, CVE-2026-109796, CVE-2026-109797, CVE-2026-109798, CVE-2026-109799, CVE-2026-109800, CVE-2026-109801, CVE-2026-109802, CVE-2026-109803, CVE-2026-109804, CVE-2026-109805, CVE-2026-109806, CVE-2026-109807, CVE-2026-109808, CVE-2026-109809, CVE-2026-109810, CVE-2026-109811, CVE-2026-120008, CVE-2026-120009, CVE-2026-120010, CVE-2026-120012, CVE-2026-120013, CVE-2026-120014, CVE-2026-120015, CVE-2026-120016, CVE-2026-120017 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high External Control of System or Configuration Setting Improper Limitation of a Pathname to a Restricted Directory Improper Neutralization of Input During Web Page Generation Improper Control of Generation of Code Stack-based Buffer Overflow Heap-based Buffer Overflow Out-of-bounds Read Incorrect Calculation of Buffer Size Integer Overflow or Wraparound Generation of Error Message Containing Sensitive Information Plaintext Storage of a Password Authentication Bypass by Capture-replay Use of Weak Hash Improper Verification of Cryptographic Signature Cross-Site Request Forgery Divide By Zero Uncontrolled Search Path Element Insufficiently Protected Credentials Improper Restriction of XML External Entity Reference Authorization Bypass Through User-Controlled Key Exposed Dangerous Method or Function Allocation of Resources Without Limits or Throttling Out-of-bounds Write Loop with Unreachable Exit Condition Missing Authorization Incorrect Authorization Use of Uninitialized Resource Server-Side Request Forgery Permissive Cross-domain Security Policy with Untrusted Domains Insufficient Granularity of Access Control Improper Validation of Specified Type of Input Uitgiftedatum : 20261112 Toepassing : SAP CRM WebClient UI SAP Cloud SDK for AI SAP Cloud SDK for Python SAP Gateway SAP Internet Communication Manager SAP SAP BusinessObjects Business Intelligence Platform (Web Intelligence) SAP SAP CRM (WebClient UI) SAP SAP Host Agent SAP SAP Kernel SAP SAP Software SAP SAP Web Dispatcher SAP SAP Web Dispatcher and Internet Communication Manager SAP Software SAP Web Dispatcher SAP astonish SAP message_server SAP netweaver SAP web_dispatcher SAP_SE S4CRM SAP_SE SAP ABAP Developer Tools (AMDP Data Preview) SAP_SE SAP Cloud SDK for AI(JavaScript) SAP_SE SAP Cloud SDK for Python SAP_SE SAP Gateway SAP_SE SAP Solution Tools Plug-In (ST-PI) SAP_SE SAP Start Service and SAP Microsoft Management Console SAP_SE SAP WebClient UI SAP_SE SAP/astonish Versie(s) : Platform(s) : Beschrijving SAP heeft meerdere kwetsbaarheden verholpen in diverse SAP-producten, waaronder SAP NetWeaver Application Server ABAP, SAP NetWeaver AS Java, SAP Web Dispatcher, SAP BusinessObjects Business Intelligence Platform, SAP Cloud SDK, SAP Host Agent, SAP NetWeaver Enterprise Portal, SAP NetWeaver Visual Composer, en SAP Solution Tools Plug-In. De kwetsbaarheden betreffen verschillende componenten binnen SAP- producten en omvatten onder andere security misconfiguraties, memory corruptie, OS command injection, broken access control, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), Server-Side Request Forgery (SSRF), XML External Entity (XXE) aanvallen, code injection, informatielekken, path traversal, en cryptografische zwaktes. Aanvallers kunnen deze kwetsbaarheden misbruiken om onder meer arbitrary code uit te voeren, denial-of-service te veroorzaken, ongeautoriseerde toegang te verkrijgen, gevoelige informatie te lekken, en integriteit van systemen en data aan te tasten. Sommige kwetsbaarheden vereisen geen authenticatie voor exploitatie, terwijl andere misbruik maken van onvoldoende autorisatie- en inputvalidatiecontroles. De kwetsbaarheden zijn aanwezig in zowel ABAP- als Java-componenten, webinterfaces, en SDK's van SAP. Er zijn geen specifieke aanwijzingen voor publiek beschikbare proof-of- concept exploits in de beschrijvingen, maar de technische details geven aan dat exploitatie mogelijk is via speciaal vervaardigde verzoeken of input. Mogelijke oplossingen SAP heeft updates uitgebracht om de kwetsbaarheden in de genoemde producten te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://support.sap.com/en/my-support/knowledge-base/security- notes-news/november-2026.html?isu_page=1 Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmr1fDcACgkQgupWoL0Z hGEplgv/d9VWfRXEcKJiSz/uGbMnUkggAMGga9cS13eS1I60Z+Nr8vKtnAQQQ6U/ E1wxexiGzEM2vuIikku56ZaGyEtI7V/DJofCF/h9z/m7vP5RKD2Yu5m/dcdn+sPn EWNpXSjoowJFukHfFCeBgWcXf1+yxGY06ETky+0P5u6CN5M7z18IpBAoSHKjfZHN eIr/hVB/3KxsETdVWpJBdQ9jeU4wgssqKriUc5dYoIYAQB7DyhCiNJbx4ozbipai NZwGiK3ki2qYQfbsdRair95nIRQkZki6uiGehcUaLwwbC2j52DvgRfUTLnOXskBw T/NEeA82eCWa+VyOstHcyKSb12I6lsHGBVnbZgNdyLb2itNeubWufHupmN9sT/u4 u4slpW+DnxwOs+K1CIYeFwLXWUOidu022sgji/cZYO+WCXHNY5HGw4UPJ3DlC0cN Ap0XEZqVffnUVt2VaZ/5T6kxfZgiI3V0RFNUP25eQzWPCg1HtcV8xloVmRvvwI5U fz0y6FWB =RmZh -----END PGP SIGNATURE-----