-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden verholpen in SAP-producten
Advisory ID : NCSC-2025-0119
Versie : 1.00
Kans : medium
CVE ID : CVE-2024-56337, CVE-2025-23186, CVE-2025-26653,
CVE-2025-26654, CVE-2025-26657, CVE-2025-27428,
CVE-2025-27430, CVE-2025-27435, CVE-2025-27437,
CVE-2025-30013, CVE-2025-30014, CVE-2025-30015,
CVE-2025-30016, CVE-2025-30017, CVE-2025-31330,
CVE-2025-31331, CVE-2025-31332, CVE-2025-31333
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Out-of-bounds Write
Insecure Inherited Permissions
Improper Neutralization of Input During Web Page
Generation ('Cross-site Scripting')
Server-Side Request Forgery (SSRF)
Path Traversal: '.../...//'
Storage of Sensitive Data in a Mechanism without
Access Control
External Control of Assumed-Immutable Web Parameter
Incorrect Authorization
Time-of-check Time-of-use (TOCTOU) Race Condition
Missing Authorization
Cleartext Transmission of Sensitive Information
Improper Control of Generation of Code ('Code
Injection')
Uitgiftedatum : 20250409
Toepassing : ATOSS ATOSS Staff Efficiency Suite
Amazon Amazon Linux 2
Apache Tomcat
Apache tomcat
SAP Business Application Software Integrated Solution
SAP BusinessObjects Financial Consolidation
SAP Commerce
SAP Commerce Cloud
SAP Commerce Data Hub
SAP ERP Financials Information System
SAP Enterprise Extension Financial Services
SAP Enterprise Financial Services
SAP Financial Consolidation
SAP Financial Consolidation Cube Designer
SAP Landscape Management
SAP Landscape Transformation
SAP NetWeaver
SAP NetWeaver (SAP Enterprise Portal)
SAP NetWeaver AS ABAP (BSP Framework)
SAP NetWeaver AS ABAP (Business Server Pages
application)
SAP Netweaver System Landscape Directory
SAP Solution Manager
SAP landscape_management
SAP_SE SAP Landscape Transformation (Analysis
Platform)
SAP_SE SAP NetWeaver AS Java (System Landscape
Directory)
SAP_SE SAP S/4HANA (Private Cloud)
sap landscape_management
sap landscape_transformation_replication_server
Versie(s) :
Platform(s) :
Beschrijving
SAP heeft kwetsbaarheden verholpen in verschillende producten,
waaronder SAP Financial Consolidation, SAP Landscape Transformation,
SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP
BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC,
SAP Solution Manager, SAP S4CORE, en SAP CRM.
De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden
met de kenmerken CVE-2025-30016, CVE-2025-31330 en CVE-2025-27429.
De kwetsbaarheid met kenmerk CVE-2025-30016 is een kritieke
authenticatie-bypass in SAP Financial Consolidation, die
ongeauthenticeerde aanvallers toegang geeft tot het Admin-account.
SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk
CVE-2025-31330, die het mogelijk maakt voor aanvallers met
gebruikersprivileges om willekeurige ABAP-code in te voegen.
De kwetsbaarheid met kenmerk CVE-2025-27429 in SAP S/4HANA (Private
Cloud) stelt een aanvaller met gebruikersprivileges in staat om
willekeurige ABAP-code in de RFC-functiemodule te injecteren en
autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid,
integriteit en beschikbaarheid van het systeem in gevaar komen.
SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC
Destination-kwetsbaarheid die kan leiden tot blootstelling van
gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP
Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens
in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP
BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van
commando's en wijziging van bestanden. De directory traversal-
kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution
Manager stellen aanvallers in staat om gevoelige informatie te
verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de
vertrouwelijkheid van interne netwerkbronnen in gevaar brengen.
Mogelijke oplossingen
SAP heeft patches uitgebracht om de kwetsbaarheden in de genoemde
producten te verhelpen. Zie bijgevoegde referenties voor meer
informatie.
Referenties:
Reference - certbundde
https://support.sap.com/en/my-support/knowledge-base/security-
notes-news/april-2025.html
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=g4PN
-----END PGP SIGNATURE-----
