-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.02 #############################
Titel : Kwetsbaarheden verholpen in SAP-producten
Advisory ID : NCSC-2025-0119
Versie : 1.02
Kans : medium
CVE ID : CVE-2024-56337, CVE-2025-0064, CVE-2025-23186,
CVE-2025-26653, CVE-2025-26654, CVE-2025-26657,
CVE-2025-27428, CVE-2025-27429, CVE-2025-27430,
CVE-2025-27435, CVE-2025-27437, CVE-2025-30013,
CVE-2025-30014, CVE-2025-30015, CVE-2025-30016,
CVE-2025-30017, CVE-2025-31324, CVE-2025-31327,
CVE-2025-31328, CVE-2025-31330, CVE-2025-31331,
CVE-2025-31332, CVE-2025-31333
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Incorrect Authorization
External Control of Assumed-Immutable Web Parameter
Storage of Sensitive Data in a Mechanism without
Access Control
Missing Authorization
Insecure Inherited Permissions
Improper Control of Generation of Code ('Code
Injection')
Cleartext Transmission of Sensitive Information
Out-of-bounds Write
Improper Neutralization of Input During Web Page
Generation ('Cross-site Scripting')
Unrestricted Upload of File with Dangerous Type
Time-of-check Time-of-use (TOCTOU) Race Condition
Server-Side Request Forgery (SSRF)
Incorrect Permission Assignment for Critical Resource
Path Traversal: '.../...//'
Cross-Site Request Forgery (CSRF)
Uitgiftedatum : 20250428
Toepassing : ATOSS ATOSS Staff Efficiency Suite
Amazon Amazon Linux 2
Apache Tomcat
Apache tomcat
SAP Business Application Software Integrated Solution
SAP BusinessObjects Financial Consolidation
SAP Commerce
SAP Commerce Cloud
SAP Commerce Data Hub
SAP ERP Financials Information System
SAP Enterprise Extension Financial Services
SAP Enterprise Financial Services
SAP Financial Consolidation
SAP Financial Consolidation Cube Designer
SAP Landscape Management
SAP Landscape Transformation
SAP NetWeaver
SAP NetWeaver (SAP Enterprise Portal)
SAP NetWeaver AS ABAP (BSP Framework)
SAP NetWeaver AS ABAP (Business Server Pages
application)
SAP Netweaver System Landscape Directory
SAP Solution Manager
SAP landscape_management
SAP_SE SAP Landscape Transformation (Analysis
Platform)
SAP_SE SAP NetWeaver AS Java (System Landscape
Directory)
SAP_SE SAP S/4HANA (Private Cloud)
sap landscape_management
sap landscape_transformation_replication_server
Versie(s) :
Platform(s) :
Update
Meldingen van misbruik van CVE-2025-31324.
Beschrijving
SAP heeft kwetsbaarheden verholpen in verschillende producten,
waaronder SAP Financial Consolidation, SAP Landscape Transformation,
SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP
BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC,
SAP Solution Manager, SAP S4CORE, en SAP CRM.
De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden
met de kenmerken CVE-2025-30016, CVE-2025-31330 en CVE-2025-27429.
De kwetsbaarheid met kenmerk CVE-2025-30016 is een kritieke
authenticatie-bypass in SAP Financial Consolidation, die
ongeauthenticeerde aanvallers toegang geeft tot het Admin-account.
SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk
CVE-2025-31330, die het mogelijk maakt voor aanvallers met
gebruikersprivileges om willekeurige ABAP-code in te voegen.
De kwetsbaarheid met kenmerk CVE-2025-27429 in SAP S/4HANA (Private
Cloud) stelt een aanvaller met gebruikersprivileges in staat om
willekeurige ABAP-code in de RFC-functiemodule te injecteren en
autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid,
integriteit en beschikbaarheid van het systeem in gevaar komen.
SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC
Destination-kwetsbaarheid die kan leiden tot blootstelling van
gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP
Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens
in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP
BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van
commando's en wijziging van bestanden. De directory traversal-
kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution
Manager stellen aanvallers in staat om gevoelige informatie te
verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de
vertrouwelijkheid van interne netwerkbronnen in gevaar brengen.
**UPDATE 25/04/2025**
SAP heeft een update uitgebracht op de advisory van eerder deze
maand. De belangrijkste aanpassing is de toevoeging van
**CVE-2025-31324**. Dit is een kritieke kwetsbaarheid waarbij de
Metadata Uploader geen correcte autorisatiecontrole toepast. Hierdoor
kan een niet-geauthenticeerde aanvaller kwaadaardige uitvoerbare
bestanden uploaden naar de server.
**UPDATE 28/04/2025**
Het NCSC ontvangt meldingen dat de kwetsbaarheid met kenmerk
CVE-2025-31324 actief wordt misbruikt.
De getroffen Metadata Uploader is onderdeel van Visual Composer. Dit
product, bedoeld om zonder het schrijven van programmacode user-
interfaces te bouwen, wordt al sinds 2015 niet meer ondersteund. Het
gebruik ervan om interfaces te bouwen wordt daarom afgeraden. Ook is
het goed gebruik een dergelijk ontwerpsoftware niet publiek
toegankelijk te hebben, maar te hosten in een separate
ontwikkelomgeving.
In het geval van Visual Composer kan de toegang worden beperkt door
de applicatia-alias `developmentserver` uit te schakelen en middels
firewall rules de toegang tot de development-server applicatie-url te
blokkeren.
Mogelijke oplossingen
SAP heeft patches uitgebracht om de kwetsbaarheden in de genoemde
producten te verhelpen.
Ook heeft SAP voor de kwetsbaarheid met kenmerk CVE-2025-31324 een
noodpatch uitgebracht om deze te verhelpen. Het NCSC adviseert om
naast de reguliere updates vooral deze noodpatch ook in te zetten.
Zie bijgevoegde referenties voor meer informatie.
Referenties:
Reference - certbundde
https://support.sap.com/en/my-support/knowledge-base/security-
notes-news/april-2025.html
Reference - cveprojectv5; nvd
https://me.sap.com/notes/3594142
Reference - ncscclear
https://reliaquest.com/blog/threat-spotlight-reliaquest-uncovers-
vulnerability-behind-sap-netweaver-compromise/
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=KwZt
-----END PGP SIGNATURE-----
