Kwetsbaarheden verholpen in SAP producten

Deze pagina zet de platte tekst van officiële advisories automatisch om naar HTML. Hierbij kan mogelijk informatie verloren gaan. De Signed PGP-versies zijn leidend.
Publicatie Kans Schade    
  Versie 1.00 gisteren NCSC-2025-0149  
 
medium
high
 Signed-PGP →
CSAF →
PDF →
  
gisteren
medium
high
 NCSC-2025-0149 [1.00] Signed-PGP →
Text, CSAF (sig), PDF
Kenmerken

Kenmerken
  • Unrestricted Upload of File with Dangerous Type
  • Missing Authorization
  • Improper Control of Generation of Code ('Code Injection')
  • External Control of Assumed-Immutable Web Parameter
  • Incorrect Permission Assignment for Critical Resource
  • Improper Restriction of XML External Entity Reference
  • Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
  • Plaintext Storage of a Password
  • Exposed Dangerous Method or Function
  • Improper Authorization
  • Deserialization of Untrusted Data
  • Improper Neutralization of Parameter/Argument Delimiters
Omschrijving

Omschrijving

SAP heeft meerdere kwetsbaarheden verholpen in diverse SAP producten, zoals NetWeaver, NetWeaver Visual Composer, SAP GUI, pcde, Business Objects, HANA en andere componenten. De kwetsbaarheden omvatten onder andere een onbeperkte bestandsuploadfout die ongeauthenticeerde gebruikers in staat stelt om kwaadaardige bestanden te uploaden, wat kan leiden tot uitvoer van willekeurige code. Daarnaast zijn er kwetsbaarheden gerapporteerd die voortkomen uit het ontbreken van noodzakelijke autorisatiecontroles, wat kan resulteren in ongeoorloofde toegang tot gevoelige gegevens en privilege-escalatie. SAP brengt de kwetsbaarheid met kenmerk CVE-2025-31324 opnieuw onder de aandacht. Deze kwetsbaarheid bevindt zich in de NetWeaver Visual Component en is in de maandelijkse update van april verholpen. Deze kwetsbaarheid is echter als ZeroDay actief misbruikt.
Bereik

Bereik
Platforms Producten Versies

SAP NetWeaver
SAP Netweaver
SAP SAP Business Objects Business Intelligence Platform (PMW) SAP SAP Data Services Management Console SAP SAP Digital Manufacturing (Production Operator Dashboard) SAP SAP GUI for Windows SAP SAP Gateway Client SAP SAP Landscape Transformation (PCL Basis) SAP SAP NetWeaver (Visual Composer development server) SAP SAP NetWeaver Application Server ABAP and ABAP Platform SAP SAP S/4HANA (Private Cloud & On-Premise) SAP SAP S/4HANA Cloud Private Edition or on Premise (SCM Master Data Layer (MDL)) SAP SAP S/4HANA HCM Portugal and SAP ERP HCM Portugal SAP SAP S4/HANA (OData meta-data property) SAP SAP Service Parts Management (SPM) SAP SAP Software SAP SAP Supplier Relationship Management (Live Auction Cockpit) SAP SAP Supplier Relationship Management (Master Data Management Catalog) SAP netweaver SAP pdce SAP s4coreop SAP sap SAP sap_pdce

7.50 for visual composer development server - 7.50 - 2025 - 2027 - enterprise430 - sbopdsjobserver4.3 - ctnr-dme-podfoundation-ms1.0 - bc-fes-gui8.00 - 756 - 757 - 758 - sap_gwfnd752 - 106 - 107 - 108 - vcframework7.50 - sap_basis756 - sap_basis757 - sap_basis758 - 712 - 713 - 714 - 712 - 713 - 714 - 604 - 608 - 104 - 105 - 106 - 616 - 617 - 618 - srm_server7.14 - srm_mdm_cat7.52 - 7.50 - s4core_103 - s4coreop_104 - s4coreop_105 - 108 - 107 - 106 - s4core_102
Oplossingen

Oplossingen

SAP heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie. [Link]
CVE’s

CVE’s

CVE-2024-39592, CVE-2025-26662, CVE-2025-30018, CVE-2025-31324, CVE-2025-31329, CVE-2025-42997, CVE-2025-42999, CVE-2025-43000, CVE-2025-43002, CVE-2025-43003, CVE-2025-43004, CVE-2025-43005, CVE-2025-43006, CVE-2025-43007, CVE-2025-43008, CVE-2025-43009, CVE-2025-43010, CVE-2025-43011
  Versie 1.00 gisteren NCSC-2025-0149  
 
medium
high
 Signed-PGP →
CSAF →
PDF →
  
gisteren
medium
high
 NCSC-2025-0149 [1.00] Signed-PGP →
Text, CSAF (sig), PDF

Vrijwaringsverklaring

Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend.
Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies.
Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding.