Kritische Sicherheitslücke in SAP NetWeaver entdeckt

MÜNCHEN (IT BOLTWISE) – Eine neue Sicherheitslücke in SAP NetWeaver sorgt für Aufsehen in der IT-Welt. Experten warnen vor möglichen Angriffen durch Cyberkriminelle, die diese Schwachstelle ausnutzen könnten.

Die Entdeckung einer kritischen Sicherheitslücke in SAP NetWeaver hat die IT-Sicherheitsgemeinschaft alarmiert. Diese Schwachstelle ermöglicht es Angreifern, JSP-Webshells hochzuladen, um unautorisierte Datei-Uploads und Code-Ausführungen zu erleichtern. Experten vermuten, dass die Ausnutzung dieser Lücke entweder mit einer bereits bekannten Schwachstelle wie CVE-2017-9844 oder einem bisher unentdeckten Remote File Inclusion (RFI) Problem zusammenhängen könnte.

Besonders besorgniserregend ist die Möglichkeit, dass es sich um eine Zero-Day-Schwachstelle handelt, da einige der betroffenen Systeme bereits mit den neuesten Patches ausgestattet waren. Die Schwachstelle befindet sich im “/developmentserver/metadatauploader”-Endpunkt der NetWeaver-Umgebung und ermöglicht es unbekannten Angreifern, bösartige JSP-basierte Webshells im “servlet_jsp/irj/root/”-Pfad hochzuladen, um einen persistierenden Fernzugriff zu ermöglichen und weitere Schadsoftware zu liefern.

Einige Vorfälle zeigen, dass die Angreifer das Brute Ratel C4 Post-Exploitation-Framework sowie eine bekannte Technik namens Heaven’s Gate verwenden, um Endpunktschutzmaßnahmen zu umgehen. In mindestens einem Fall benötigten die Angreifer mehrere Tage, um von einem erfolgreichen Erstzugriff zu einer weitergehenden Ausnutzung überzugehen, was die Vermutung nahelegt, dass es sich um einen Initial Access Broker (IAB) handeln könnte, der den Zugang an andere Bedrohungsgruppen verkauft.

Die Sicherheitsfirma ReliaQuest hat in ihrem Bericht ein beunruhigendes Muster festgestellt, das darauf hindeutet, dass die Angreifer bekannte Exploits mit einer Mischung aus sich weiterentwickelnden Techniken kombinieren, um ihre Wirkung zu maximieren. SAP-Lösungen werden häufig von Regierungsbehörden und Unternehmen eingesetzt, was sie zu attraktiven Zielen für Angreifer macht. Da SAP-Lösungen oft vor Ort installiert werden, liegt die Verantwortung für Sicherheitsmaßnahmen bei den Nutzern; nicht rechtzeitig angewendete Updates und Patches können diese Systeme einem größeren Risiko aussetzen.

Interessanterweise hat SAP kürzlich ein Update veröffentlicht, um eine Sicherheitslücke mit maximaler Schwere (CVE-2025-31324, CVSS-Score: 10.0) zu beheben, die es einem Angreifer ermöglichen könnte, beliebige Dateien hochzuladen. Der SAP NetWeaver Visual Composer Metadata Uploader ist nicht mit einer ordnungsgemäßen Autorisierung geschützt, was einem nicht authentifizierten Agenten erlaubt, potenziell bösartige ausführbare Binärdateien hochzuladen, die das Hostsystem schwer schädigen könnten.

Diese Enthüllung erfolgt etwas mehr als einen Monat, nachdem die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) vor der aktiven Ausnutzung einer weiteren schwerwiegenden NetWeaver-Schwachstelle (CVE-2017-12637) gewarnt hat, die es einem Angreifer ermöglichen könnte, sensible SAP-Konfigurationsdateien zu erlangen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!