{"id":15209,"date":"2025-04-08T08:52:08","date_gmt":"2025-04-08T08:52:08","guid":{"rendered":"https:\/\/www.europesays.com\/de\/15209\/"},"modified":"2025-04-08T08:52:08","modified_gmt":"2025-04-08T08:52:08","slug":"sap-patchday-18-schwachstellenmeldungen-einige-sind-kritisch","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/de\/15209\/","title":{"rendered":"SAP-Patchday: 18 Schwachstellenmeldungen, einige sind kritisch"},"content":{"rendered":"<p><a href=\"https:\/\/www.heise.de\/thema\/SAP\" target=\"_blank\" rel=\"noopener\">SAP<\/a> hat am Dienstag dieser Woche die Sicherheitsmitteilungen zum April-<a href=\"https:\/\/www.heise.de\/thema\/Patchday\" target=\"_blank\" rel=\"noopener\">Patchday<\/a> ver\u00f6ffentlicht. Insgesamt behandelt das Walldorfer Unternehmen in 18 Security-Bulletins Schwachstellen. Davon gelten drei als kritisches Sicherheitsrisiko, vier hingegen als hohes.<\/p>\n<p>In der <a href=\"https:\/\/support.sap.com\/en\/my-support\/knowledge-base\/security-notes-news\/april-2025.html\" rel=\"external noopener\" target=\"_blank\">Patchday-\u00dcbersicht listet SAP<\/a> die einzelnen Mitteilungen auf. Tief in die Details gehen die Beschreibungen dort nicht, die finden Admins nach Log-in in ihren SAP-Account unter der von SAP verlinkten Notiz-Nummer.<\/p>\n<p>SAP: Kritische Sicherheitsl\u00fccken<\/p>\n<p>Durch die kritischen Sicherheitsl\u00fccken k\u00f6nnen Angreifer Schadcode in SAP S\/4HANA (Private Cloud) (CVE-2025-27429, CVSS <strong>9.9<\/strong>, Risiko &#8222;<strong>kritisch<\/strong>&#8222;) sowie SAP Landscape Transformation (Analysis Platform) (CVE-2025-31330, CVSS <strong>9.9<\/strong>, Risiko &#8222;<strong>kritisch<\/strong>&#8222;) einschleusen und ausf\u00fchren. B\u00f6sartige Akteure k\u00f6nnen zudem die Authentifizierung in SAP Financial Consolidation umgehen (CVE-2025-30016, CVSS <strong>9.8<\/strong>, Risiko &#8222;<strong>kritisch<\/strong>&#8222;).<\/p>\n<p>IT-Verantwortliche sollten pr\u00fcfen, ob die in ihren Netzwerken eingesetzte Software unter den von Schwachstellen betroffenen Programmen findet, und z\u00fcgig die bereitstehenden Updates installieren. Die aktuellen Sicherheitsmeldungen von SAP nach Risikoeinstufung sortiert:<\/p>\n<ul class=\"rte__list rte__list--unordered\">\n<li>Code Injection Vulnerability in SAP S\/4HANA (Private Cloud), CVE-2025-27429, CVSS <strong>9.9<\/strong>, Risiko &#8222;<strong>kritisch<\/strong>&#8222;<\/li>\n<li>Code Injection Vulnerability in SAP Landscape Transformation (Analysis Platform), CVE-2025-31330, CVSS <strong>9.9<\/strong>, <strong>kritisch<\/strong><\/li>\n<li>Authentication Bypass Vulnerability in SAP Financial Consolidation, CVE-2025-30016, CVSS <strong>9.8<\/strong>, <strong>kritisch<\/strong><\/li>\n<li>Mixed Dynamic RFC Destination vulnerability through Remote Function Call (RFC) in SAP NetWeaver Application Server ABAP, CVE-2025-23186, CVSS <strong>8.5<\/strong>, <strong>hoch<\/strong><\/li>\n<li>Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability in Apache Tomcat within SAP Commerce Cloud, CVE-2024-56337, CVSS <strong>8.1<\/strong>, <strong>hoch<\/strong><\/li>\n<li>Directory Traversal vulnerability in SAP Capital Yield Tax Management, CVE-2025-30014, CVSS <strong>7.7<\/strong>, <strong>hoch<\/strong><\/li>\n<li>Directory Traversal vulnerability in SAP NetWeaver and ABAP Platform (Service Data Collection), CVE-2025-27428, CVSS <strong>7.7<\/strong>, <strong>hoch<\/strong><\/li>\n<li>Potential information disclosure vulnerability in SAP Commerce Cloud (Public Cloud), CVE-2025-26654, CVSS <strong>6.8<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Code Injection vulnerability in SAP ERP BW Business Content, CVE-2025-30013, CVSS <strong>6.7<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Insecure File permissions vulnerability in SAP BusinessObjects Business Intelligence Platform, CVE-2025-31332, CVSS <strong>6.6<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Information Disclosure vulnerability in SAP KMC WPC, CVE-2025-26657, CVSS <strong>5.3<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (applications based on SAP GUI for HTML), CVE-2025-26653, CVSS <strong>4.7<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Missing Authorization check in SAP Solution Manager, CVE-2025-30017, CVSS <strong>4.4<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Odata meta-data tampering in SAP S4CORE entity, CVE-2025-31333, CVSS <strong>4.3<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Missing Authorization check in SAP NetWeaver Application Server ABAP (Virus Scan Interface), CVE-2025-27437, CVSS <strong>4.3<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Authorization Bypass vulnerability in SAP NetWeaver, CVE-2025-31331, CVSS <strong>4.3<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Information Disclosure Vulnerability in SAP Commerce Cloud, CVE-2025-27435, CVSS <strong>4.2<\/strong>, <strong>mittel<\/strong><\/li>\n<li>Memory Corruption vulnerability in SAP NetWeaver and ABAP Platform (Application Server ABAP), CVE-2025-30015, CVSS <strong>4.1<\/strong>, <strong>mittel<\/strong><\/li>\n<\/ul>\n<p>Au\u00dferdem hat SAP zwei \u00e4ltere Sicherheitsmitteilungen aktualisiert. Eine betrifft die SAP BusinessObjects Business Intelligence Platform, in der initial im Februar eine hochriskante L\u00fccke entdeckt wurde, die andere eine Server Side Request Forgery (SSRF) in SAP CRM und SAP S\/4 HANA mit niedrigem Schweregrad, die urspr\u00fcnglich im M\u00e4rz behandelt wurde.<\/p>\n<p>Im <a href=\"https:\/\/support.sap.com\/en\/my-support\/knowledge-base\/security-notes-news\/march-2025.html\" rel=\"external noopener\" target=\"_blank\">M\u00e4rz hatte SAP<\/a> sich mit 22 Sicherheitsmitteilungen um zahlreiche Sicherheitsl\u00fccken in der Software aus dem Hause gek\u00fcmmert. Im Februar war das Aufkommen mit 18 Sicherheitsmitteilungen gleich hoch wie im April, jedoch war dort der h\u00f6chste Bedrohungsgrad der Schwachstellen das Risiko &#8222;hoch&#8220;.<\/p>\n<p>(<a class=\"redakteurskuerzel__link\" href=\"https:\/\/www.heise.de\/news\/mailto:dmk@heise.de\" title=\"Dirk Knop\" target=\"_blank\" rel=\"noopener\">dmk<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"SAP hat am Dienstag dieser Woche die Sicherheitsmitteilungen zum April-Patchday ver\u00f6ffentlicht. Insgesamt behandelt das Walldorfer Unternehmen in 18&hellip;\n","protected":false},"author":2,"featured_media":15210,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[135],"tags":[10308,29,30,196,10309,10310,10311,190,189,1687,4970,10312,194,191,193,192],"class_list":{"0":"post-15209","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-wissenschaft-technik","8":"tag-alert","9":"tag-deutschland","10":"tag-germany","11":"tag-it","12":"tag-patchday","13":"tag-sap","14":"tag-sap-patchday","15":"tag-science","16":"tag-science-technology","17":"tag-security","18":"tag-sicherheitsluecken","19":"tag-sicherheitsupdates","20":"tag-technik","21":"tag-technology","22":"tag-wissenschaft","23":"tag-wissenschaft-technik"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/114301498145945470","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/15209","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=15209"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/15209\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/15210"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=15209"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=15209"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=15209"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}