-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.03 #############################
Titel : Kwetsbaarheden verholpen in SAP-producten
Advisory ID : NCSC-2025-0119
Versie : 1.03
Kans : high
CVE ID : CVE-2024-56337, CVE-2025-0064, CVE-2025-23186,
CVE-2025-26653, CVE-2025-26654, CVE-2025-26657,
CVE-2025-27428, CVE-2025-27429, CVE-2025-27430,
CVE-2025-27435, CVE-2025-27437, CVE-2025-30013,
CVE-2025-30014, CVE-2025-30015, CVE-2025-30016,
CVE-2025-30017, CVE-2025-31324, CVE-2025-31327,
CVE-2025-31328, CVE-2025-31330, CVE-2025-31331,
CVE-2025-31332, CVE-2025-31333
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Server-Side Request Forgery (SSRF)
External Control of Assumed-Immutable Web Parameter
Out-of-bounds Write
Improper Neutralization of Input During Web Page
Generation ('Cross-site Scripting')
Unrestricted Upload of File with Dangerous Type
Improper Control of Generation of Code ('Code
Injection')
Insecure Inherited Permissions
Storage of Sensitive Data in a Mechanism without
Access Control
Path Traversal: '.../...//'
Cleartext Transmission of Sensitive Information
Cross-Site Request Forgery (CSRF)
Time-of-check Time-of-use (TOCTOU) Race Condition
Incorrect Permission Assignment for Critical Resource
Incorrect Authorization
Missing Authorization
Uitgiftedatum : 20250430
Toepassing : ATOSS ATOSS Staff Efficiency Suite
Amazon Amazon Linux 2
Apache Tomcat
Apache tomcat
SAP Business Application Software Integrated Solution
SAP BusinessObjects Financial Consolidation
SAP Commerce
SAP Commerce Cloud
SAP Commerce Data Hub
SAP ERP Financials Information System
SAP Enterprise Extension Financial Services
SAP Enterprise Financial Services
SAP Financial Consolidation
SAP Financial Consolidation Cube Designer
SAP Landscape Management
SAP Landscape Transformation
SAP NetWeaver
SAP NetWeaver (SAP Enterprise Portal)
SAP NetWeaver AS ABAP (BSP Framework)
SAP NetWeaver AS ABAP (Business Server Pages
application)
SAP Netweaver System Landscape Directory
SAP Solution Manager
SAP landscape_management
SAP_SE SAP Landscape Transformation (Analysis
Platform)
SAP_SE SAP NetWeaver AS Java (System Landscape
Directory)
SAP_SE SAP S/4HANA (Private Cloud)
sap landscape_management
sap landscape_transformation_replication_server
Versie(s) :
Platform(s) :
Update
New revision
Beschrijving
SAP heeft kwetsbaarheden verholpen in verschillende producten,
waaronder SAP Financial Consolidation, SAP Landscape Transformation,
SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP
BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC,
SAP Solution Manager, SAP S4CORE, en SAP CRM.
De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden
met de kenmerken CVE-2025-30016, CVE-2025-31330 en CVE-2025-27429.
De kwetsbaarheid met kenmerk CVE-2025-30016 is een kritieke
authenticatie-bypass in SAP Financial Consolidation, die
ongeauthenticeerde aanvallers toegang geeft tot het Admin-account.
SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk
CVE-2025-31330, die het mogelijk maakt voor aanvallers met
gebruikersprivileges om willekeurige ABAP-code in te voegen.
De kwetsbaarheid met kenmerk CVE-2025-27429 in SAP S/4HANA (Private
Cloud) stelt een aanvaller met gebruikersprivileges in staat om
willekeurige ABAP-code in de RFC-functiemodule te injecteren en
autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid,
integriteit en beschikbaarheid van het systeem in gevaar komen.
SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC
Destination-kwetsbaarheid die kan leiden tot blootstelling van
gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP
Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens
in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP
BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van
commando's en wijziging van bestanden. De directory traversal-
kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution
Manager stellen aanvallers in staat om gevoelige informatie te
verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de
vertrouwelijkheid van interne netwerkbronnen in gevaar brengen.
**UPDATE 25/04/2025**
SAP heeft een update uitgebracht op de advisory van eerder deze
maand. De belangrijkste aanpassing is de toevoeging van
**CVE-2025-31324**. Dit is een kritieke kwetsbaarheid waarbij de
Metadata Uploader geen correcte autorisatiecontrole toepast. Hierdoor
kan een niet-geauthenticeerde aanvaller kwaadaardige uitvoerbare
bestanden uploaden naar de server.
**UPDATE 28/04/2025**
Het NCSC ontvangt meldingen dat de kwetsbaarheid met kenmerk
CVE-2025-31324 actief wordt misbruikt.
De getroffen Metadata Uploader is onderdeel van Visual Composer. Dit
product, bedoeld om zonder het schrijven van programmacode user-
interfaces te bouwen, wordt al sinds 2015 niet meer ondersteund. Het
gebruik ervan om interfaces te bouwen wordt daarom afgeraden. Ook is
het goed gebruik een dergelijk ontwerpsoftware niet publiek
toegankelijk te hebben, maar te hosten in een separate
ontwikkelomgeving.
In het geval van Visual Composer kan de toegang worden beperkt door
de applicatia-alias `developmentserver` uit te schakelen en middels
firewall rules de toegang tot de development-server applicatie-url te
blokkeren.
**UPDATE 30/04/2025**
In de eerdere update van dit beveiligingsadvies op 28/04/2025 heeft
het NCSC gemeld dat de kwetsbaarheid met het kenmerk CVE-2025-31324
actief wordt misbruikt. Een onderdeel van het misbruik is dat
kwaadwillenden webshells plaatsen. Na nader onderzoek door het NCSC
en op basis van ontvangen meldingen, is ook waargenomen dat deze
webshells online te koop wordt aangeboden. Dit vergroot de kans op
misbruik aanzienlijk. Het NCSC heeft daarom besloten om dit
beveiligingsadvies naar H/H te verhogen.
Mogelijke oplossingen
SAP heeft patches uitgebracht om de kwetsbaarheden in de genoemde
producten te verhelpen.
Ook heeft SAP voor de kwetsbaarheid met kenmerk CVE-2025-31324 een
noodpatch uitgebracht om deze te verhelpen. Het NCSC adviseert om
naast de reguliere updates vooral deze noodpatch ook in te zetten.
**UPDATE 30/04/2025**
Het NCSC adviseert met klem om de beschikbaar gestelde
beveiligingsupdates te installeren en uw systeem op aanwezigheid van
webshells te controleren. Zie bijgevoegde referenties voor meer
informatie.
Referenties:
Reference - certbundde
https://support.sap.com/en/my-support/knowledge-base/security-
notes-news/april-2025.html
Reference - cisagov; cveprojectv5; nvd
https://me.sap.com/notes/3594142
Reference - ncscclear
https://reliaquest.com/blog/threat-spotlight-reliaquest-uncovers-
vulnerability-behind-sap-netweaver-compromise/
Reference - ncscclear
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-
cve-2025-31324/
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
iQGzBAEBCgAdFiEEj9lz1UkzuNhtLOX5ytTOqyR+cF8FAmgSIb8ACgkQytTOqyR+
cF9kLgv+PfnD757T/HNHXExVrQVjgrhXNMSvciBr4PyPZKB8wmXqgRwZtDS6tkZM
bVQB7aqkzUUubAmLM08zhMJ1Z7HEGzNtfbP8sAy6yTLv6Vkjcd116xgAqS8Yvi4X
jz4OTIK1b+YoGdJIWs7eHVydP/2IuSHBTt1eTxJpZXMsU8wng1eYLerkJowQNrtF
ghVoLpTUNbkFDkOmmoXFXmvBctCwcoL0xPaOKqBusLtq2tU5Zp6hLWFFiNw2SmqF
1KcvIbwDLYNNv3IYCIs1HYCzYXh+/yeKgFYarGsngYQfGwTU/SceM/2yNoTCsWtE
vBO7eVFTDE1eiybH4k2P9cEzfVGKthyd2o0EGOxwOq6lk0m5rDhgf88v+XGY58O9
n5mkMUutgbfm64+IrBRokasFpA7EPIcYRYduMa8/6DTxGZGAeJNUS9y//qIwXnDV
8+GHX7CUabRRYFpxT0DO7+IelYO8rewLDyQP7w6f3mhZqZ8XeBe/ehGYPLFJVnIc
Pf6V9hx1
=TjNH
-----END PGP SIGNATURE-----
