Mehrere Schwachstellen in SAP-Software erlauben einem Angreifer, Privilegien zu erhöhen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen oder zu manipulieren, SQL‑Injection‑ und Cross‑Site‑Scripting‑Angriffe zu starten sowie einen Denial‑of‑Service‑Zustand zu erzeugen.
Betroffene Komponenten
Die betroffenen Komponenten umfassen zentrale SAP‑Module, die für die Authentifizierung, Datenbankzugriffe und Web‑Frontend‑Funktionen verantwortlich sind. Laut CERT‑Bund wurden insbesondere Schnittstellen zur Datenbankkommunikation und Web‑Applikationsserver identifiziert, die nicht ausreichend gegen manipulierte Eingaben geschützt sind.
Mögliche Angriffsvektoren
Ein Angreifer kann über manipulierte HTTP‑Requests oder direkte Datenbankabfragen Schwachstellen ausnutzen. Durch das Einschleusen von schädlichem SQL‑Code oder JavaScript‑Payloads lassen sich sowohl Datenbankinhalte auslesen als auch Schadcode im Kontext des betroffenen Systems ausführen.
Risiken für Daten und Verfügbarkeit
Die Ausnutzung der Schwachstellen kann zu unautorisiertem Zugriff auf vertrauliche Geschäftsdaten, Veränderung von Stammdaten sowie zum Ausfall kritischer Dienste führen. Ein erfolgreicher Denial‑of‑Service‑Angriff kann den Betrieb von SAP‑Systemen vollständig lahmlegen.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, alle verfügbaren Sicherheitspatches von SAP unverzüglich zu installieren, Eingabevalidierungen auf Anwendungsebene zu verstärken und Netzwerk‑Firewalls so zu konfigurieren, dass verdächtige Anfragen blockiert werden. Zusätzlich sollten Log‑Analysen verstärkt und ungewöhnliche Zugriffs‑Muster überwacht werden.
Weiteres Vorgehen
Betroffene Unternehmen sollten das Sicherheitsbulletin von CERT‑Bund prüfen, interne Risikoanalysen durchführen und gegebenenfalls Incident‑Response‑Teams aktivieren. Für weiterführende Informationen verweist CERT‑Bund auf die vollständige Advisory‑Dokumentation.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung