-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden verholpen in SAP producten
Advisory ID : NCSC-2025-0149
Versie : 1.00
Kans : medium
CVE ID : CVE-2024-39592, CVE-2025-26662, CVE-2025-30018,
CVE-2025-31324, CVE-2025-31329, CVE-2025-42997,
CVE-2025-42999, CVE-2025-43000, CVE-2025-43002,
CVE-2025-43003, CVE-2025-43004, CVE-2025-43005,
CVE-2025-43006, CVE-2025-43007, CVE-2025-43008,
CVE-2025-43009, CVE-2025-43010, CVE-2025-43011
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Unrestricted Upload of File with Dangerous Type
Missing Authorization
Improper Control of Generation of Code ('Code
Injection')
External Control of Assumed-Immutable Web Parameter
Incorrect Permission Assignment for Critical Resource
Improper Restriction of XML External Entity Reference
Improper Neutralization of Input During Web Page
Generation ('Cross-site Scripting')
Plaintext Storage of a Password
Exposed Dangerous Method or Function
Improper Authorization
Deserialization of Untrusted Data
Improper Neutralization of Parameter/Argument
Delimiters
Uitgiftedatum : 20250513
Toepassing : SAP NetWeaver
SAP Netweaver
SAP SAP Business Objects Business Intelligence
Platform (PMW)
SAP SAP Data Services Management Console
SAP SAP Digital Manufacturing (Production Operator
Dashboard)
SAP SAP GUI for Windows
SAP SAP Gateway Client
SAP SAP Landscape Transformation (PCL Basis)
SAP SAP NetWeaver (Visual Composer development server)
SAP SAP NetWeaver Application Server ABAP and ABAP
Platform
SAP SAP S/4HANA (Private Cloud & On-Premise)
SAP SAP S/4HANA Cloud Private Edition or on Premise
(SCM Master Data Layer (MDL))
SAP SAP S/4HANA HCM Portugal and SAP ERP HCM Portugal
SAP SAP S4/HANA (OData meta-data property)
SAP SAP Service Parts Management (SPM)
SAP SAP Software
SAP SAP Supplier Relationship Management (Live Auction
Cockpit)
SAP SAP Supplier Relationship Management (Master Data
Management Catalog)
SAP netweaver
SAP pdce
SAP s4coreop
SAP sap
SAP sap_pdce
Versie(s) :
Platform(s) :
Beschrijving
SAP heeft meerdere kwetsbaarheden verholpen in diverse SAP producten,
zoals NetWeaver, NetWeaver Visual Composer, SAP GUI, pcde, Business
Objects, HANA en andere componenten.
De kwetsbaarheden omvatten onder andere een onbeperkte
bestandsuploadfout die ongeauthenticeerde gebruikers in staat stelt
om kwaadaardige bestanden te uploaden, wat kan leiden tot uitvoer van
willekeurige code. Daarnaast zijn er kwetsbaarheden gerapporteerd die
voortkomen uit het ontbreken van noodzakelijke autorisatiecontroles,
wat kan resulteren in ongeoorloofde toegang tot gevoelige gegevens en
privilege-escalatie.
SAP brengt de kwetsbaarheid met kenmerk CVE-2025-31324 opnieuw onder
de aandacht. Deze kwetsbaarheid bevindt zich in de NetWeaver Visual
Component en is in de maandelijkse update van april verholpen. Deze
kwetsbaarheid is echter als ZeroDay actief misbruikt.
Mogelijke oplossingen
SAP heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie
bijgevoegde referenties voor meer informatie.
Referenties:
Source - sap
https://support.sap.com/en/my-support/knowledge-base/security-
notes-news/may-2025.html
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=WMsM
-----END PGP SIGNATURE-----
