Kwetsbaarheden verholpen in SAP-producten

SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder SAP Financial Consolidation, SAP Landscape Transformation, SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC, SAP Solution Manager, SAP S4CORE, en SAP CRM. De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden met de kenmerken CVE-2025-30016, CVE-2025-31330 en CVE-2025-27429. De kwetsbaarheid met kenmerk CVE-2025-30016 is een kritieke authenticatie-bypass in SAP Financial Consolidation, die ongeauthenticeerde aanvallers toegang geeft tot het Admin-account. SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk CVE-2025-31330, die het mogelijk maakt voor aanvallers met gebruikersprivileges om willekeurige ABAP-code in te voegen. De kwetsbaarheid met kenmerk CVE-2025-27429 in SAP S/4HANA (Private Cloud) stelt een aanvaller met gebruikersprivileges in staat om willekeurige ABAP-code in de RFC-functiemodule te injecteren en autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem in gevaar komen. SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC Destination-kwetsbaarheid die kan leiden tot blootstelling van gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van commando's en wijziging van bestanden. De directory traversal-kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution Manager stellen aanvallers in staat om gevoelige informatie te verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de vertrouwelijkheid van interne netwerkbronnen in gevaar brengen. UPDATE 25/04/2025 SAP heeft een update uitgebracht op de advisory van eerder deze maand. De belangrijkste aanpassing is de toevoeging van CVE-2025-31324. Dit is een kritieke kwetsbaarheid waarbij de Metadata Uploader geen correcte autorisatiecontrole toepast. Hierdoor kan een niet-geauthenticeerde aanvaller kwaadaardige uitvoerbare bestanden uploaden naar de server. UPDATE 28/04/2025 Het NCSC ontvangt meldingen dat de kwetsbaarheid met kenmerk CVE-2025-31324 actief wordt misbruikt. De getroffen Metadata Uploader is onderdeel van Visual Composer. Dit product, bedoeld om zonder het schrijven van programmacode user-interfaces te bouwen, wordt al sinds 2015 niet meer ondersteund. Het gebruik ervan om interfaces te bouwen wordt daarom afgeraden. Ook is het goed gebruik een dergelijk ontwerpsoftware niet publiek toegankelijk te hebben, maar te hosten in een separate ontwikkelomgeving. In het geval van Visual Composer kan de toegang worden beperkt door de applicatia-alias developmentserver uit te schakelen en middels firewall rules de toegang tot de development-server applicatie-url te blokkeren. UPDATE 30/04/2025 In de eerdere update van dit beveiligingsadvies op 28/04/2025 heeft het NCSC gemeld dat de kwetsbaarheid met het kenmerk CVE-2025-31324 actief wordt misbruikt. Een onderdeel van het misbruik is dat kwaadwillenden webshells plaatsen. Na nader onderzoek door het NCSC en op basis van ontvangen meldingen, is ook waargenomen dat deze webshells online te koop wordt aangeboden. Dit vergroot de kans op misbruik aanzienlijk. Het NCSC heeft daarom besloten om dit beveiligingsadvies naar H/H te verhogen.