-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.01 ############################# Titel : Kwetsbaarheden verholpen in SAP-producten Advisory ID : NCSC-2025-0119 Versie : 1.01 Kans : medium CVE ID : CVE-2024-56337, CVE-2025-0064, CVE-2025-23186, CVE-2025-26653, CVE-2025-26654, CVE-2025-26657, CVE-2025-27428, CVE-2025-27429, CVE-2025-27430, CVE-2025-27435, CVE-2025-27437, CVE-2025-30013, CVE-2025-30014, CVE-2025-30015, CVE-2025-30016, CVE-2025-30017, CVE-2025-31324, CVE-2025-31327, CVE-2025-31328, CVE-2025-31330, CVE-2025-31331, CVE-2025-31332, CVE-2025-31333 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Incorrect Authorization Out-of-bounds Write Incorrect Permission Assignment for Critical Resource External Control of Assumed-Immutable Web Parameter Improper Control of Generation of Code ('Code Injection') Server-Side Request Forgery (SSRF) Missing Authorization Unrestricted Upload of File with Dangerous Type Storage of Sensitive Data in a Mechanism without Access Control Cleartext Transmission of Sensitive Information Cross-Site Request Forgery (CSRF) Time-of-check Time-of-use (TOCTOU) Race Condition Path Traversal: '.../...//' Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Insecure Inherited Permissions Uitgiftedatum : 20250425 Toepassing : ATOSS ATOSS Staff Efficiency Suite Amazon Amazon Linux 2 Apache Tomcat Apache tomcat SAP Business Application Software Integrated Solution SAP BusinessObjects Financial Consolidation SAP Commerce SAP Commerce Cloud SAP Commerce Data Hub SAP ERP Financials Information System SAP Enterprise Extension Financial Services SAP Enterprise Financial Services SAP Financial Consolidation SAP Financial Consolidation Cube Designer SAP Landscape Management SAP Landscape Transformation SAP NetWeaver SAP NetWeaver (SAP Enterprise Portal) SAP NetWeaver AS ABAP (BSP Framework) SAP NetWeaver AS ABAP (Business Server Pages application) SAP Netweaver System Landscape Directory SAP Solution Manager SAP landscape_management SAP_SE SAP Landscape Transformation (Analysis Platform) SAP_SE SAP NetWeaver AS Java (System Landscape Directory) SAP_SE SAP S/4HANA (Private Cloud) sap landscape_management sap landscape_transformation_replication_server Versie(s) : Platform(s) : Update SAP heeft een update op de advisorie van eerder deze maand Beschrijving SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder SAP Financial Consolidation, SAP Landscape Transformation, SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC, SAP Solution Manager, SAP S4CORE, en SAP CRM. De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden met de kenmerken CVE-2025-30016, CVE-2025-31330 en CVE-2025-27429. De kwetsbaarheid met kenmerk CVE-2025-30016 is een kritieke authenticatie-bypass in SAP Financial Consolidation, die ongeauthenticeerde aanvallers toegang geeft tot het Admin-account. SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk CVE-2025-31330, die het mogelijk maakt voor aanvallers met gebruikersprivileges om willekeurige ABAP-code in te voegen. De kwetsbaarheid met kenmerk CVE-2025-27429 in SAP S/4HANA (Private Cloud) stelt een aanvaller met gebruikersprivileges in staat om willekeurige ABAP-code in de RFC-functiemodule te injecteren en autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem in gevaar komen. SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC Destination-kwetsbaarheid die kan leiden tot blootstelling van gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van commando's en wijziging van bestanden. De directory traversal- kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution Manager stellen aanvallers in staat om gevoelige informatie te verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de vertrouwelijkheid van interne netwerkbronnen in gevaar brengen. **UPDATE 25/04/2025** SAP heeft een update uitgebracht op de advisory van eerder deze maand. De belangrijkste aanpassing is de toevoeging van **CVE-2025-31324**. Dit is een kritieke kwetsbaarheid waarbij de Metadata Uploader geen correcte autorisatiecontrole toepast. Hierdoor kan een niet-geauthenticeerde aanvaller kwaadaardige uitvoerbare bestanden uploaden naar de server. Mogelijke oplossingen SAP heeft patches uitgebracht om de kwetsbaarheden in de genoemde producten te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference - certbundde https://support.sap.com/en/my-support/knowledge-base/security- notes-news/april-2025.html Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEj9lz1UkzuNhtLOX5ytTOqyR+cF8FAmgLe7sACgkQytTOqyR+ cF8RHwv+KaxJHvQmcn2TrLBWe3AZAUaG86xJIvxP80EhIkLXIuv/vkC7mhPHiEzi j7ocbafcuvVbUWsksKHiCQACL6y1OhNmBxxQx6g8v6Z7aKu7rqElIZj9hB9A0y5b uRGfJLlw8hQEBIpNt69H8rKoK5PEezhyZLf7vnh2bikmUI8qP1aIS5OuzPMED3Pv CQN15f/Tl33dqHyZmeBVDiUdDqEslE/pmzGiJDz4VEgL+4FWeZAx3MLZ+7hWXMBC rho2VXmZ2jUIDPI1FodxZrZGFvxZw6nfJL/udtgb1n84K3tW8OuWovd700N6Wq6M DcN4Ynz6TNua2lTDIKW6ummPeBMHN0Mi9aVDwJjOx4905HaNjbq8RBjP5bcvCbCw rPPjTMzHR2ZfiYpnrTC5QLhp/20Cr8RsvrgJx1OTOFl/G5QzzChUQsslCimu7e4J ebtXMKYeP+Pgz0bo4CarnI1X7OS+9qz7VZNd/P5qYxcmbqYUkcgzNBYTpPOr5Z8q gT3v6q+w =coO/ -----END PGP SIGNATURE-----