SAP Sicherheitsupdates Dezember 2024: 13 Schwachstellen behoben

SAP Patchday Dezember 2024 Kritische Schwachstelle in SAP NetWeaver AS for Java

12.12.2024 Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

SAP SE

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

fsas-afc-horizontal-2-positive-rgb-nov24 (Fsas)

Fsas Technologies GmbH

Im Dezember 2024 veröffentlicht SAP Sicherheitsupdates für 13 Schwachstellen, darunter drei Sicherheitslücken in der „Hot News“. Sie betreffen den Adobe Document Service in SAP NetWeaver AS for Java.

Der Adobe Document Service (ADS) ermöglicht die Verarbeitung von Geschäftsdaten, die von ABAP- sowie Java-basierten Anwendungen erzeugt werden. Die ADS-Komponente in NetWeaver Application Server for Java enthält eine kritische Sicherheitslücke.(Bild: Dall-E / KI-generiert) — Der Adobe Document Service (ADS) ermöglicht die Verarbeitung von Geschäftsdaten, die von ABAP- sowie Java-basierten Anwendungen erzeugt werden. Die ADS-Komponente in NetWeaver Application Server for Java enthält eine kritische Sicherheitslücke.
(Bild: Dall-E / KI-generiert)

Parallel zum Microsoft Patchday fand am 10. Dezember 2024 wieder der SAP Patchday statt. Insgesamt veröffentlichte SAP 13 Sicherheitsupdates für Schwachstellen. Eine davon gilt mit einem CVSS von 9.1 als kritisch und fällt bei dem Softwareanbieter hinsichtlich ihrer Priorität in die Kategorie „Hot News“.

Um Ihre geschäftskritischen Daten in SAP zu schützen, sollten Admins schnellstmöglich das Oktober-Update installieren. (Bild: Ben - stock.adobe.com)

SAP Hot News im Dezember 2024

SAP Hot News sind Sicherheitshinweise mit der höchsten Priorität. Die Meldungen enthalten relevante Informationen über dokumentierte Schwachstellen in SAP-Produkten sowie Anweisungen zur Behebung der Sicherheitslücken. Neben der Benachrichtung per E-Mail informiert SAP seine Kunden auch über das Support-Portal. Damit sie keine Meldung verpassen können Kunden sich auch per SMS oder direkt über das One Support Launchpad, der zentralen Plattform für technischen Support und Verwaltung von SAP, benachrichtigen lassen.

Im Patchday im Dezember sind die drei Sicherheitslücken CVE-2024-47578 (CVSS 91.), CVE-2024-47579 (CVSS 6.8) und CVE-2024-47580 (CVSS 6.8) Teil der Hot News. Betroffen ist die Komponente Adobe Document Services in SAP NetWeaver AS for Java in der Version ADSSSAP 7.50. Mit dem Adobe Document Service können Anwender innerhalb der SAP-Systeme PDFs erstellen und bearbeiten. Die drei Schwachstellen setzen Unternehmen der Gefahr einer serverseitigen Anforderungsfälschung (Server-Side Request Forgery, SSRF) aus. Bei erfolgreicher Ausnutzung kann ein Cyberangreifer Dateien lesen, verändern oder das gesamte System unzugänglich machen.

Das Patchday-Jahr 2025 hat begonnen: Im Januar schließt SAP insgesamt 16 Sicherheitslücken. (Bild: Kiattisak - stock.adobe.com)

Administratoren sollten umgehend die Sicherheitsupdates von SAP installieren. Neben den Hot-News-Schwachstellen beheben die Patches folgende weitere Sicherheitslücken:

CVE-2024-47590

CVE-2024-54198

CVE-2024-47586

CVE-2024-54197

CVE-2024-47582

CVE-2024-32732

CVE-2024-47585

CVE-2024-42375, CVE-2024-28166 und CVE-2024-41731

CVE-2024-47581

CVE-2024-47576

CVE-2024-47577

Um Ressourcen für das Installieren von Sicherheitsupdates besser zu planen, hat SAP den Patchday einmal im Monat ins Leben gerufen. Wann die SAP Patchdays sind, lesen Sie hier. Orientiert hat sich SAP hierbei am Patchday von Microsoft, der ebenfalls immer am zweiten Dienstag des Monats stattfindet. Auch Oracle hat fixe Termine für die Veröffentlichung von Sicherheitsupdates.

Der Microsoft Patchday ist immer am zweiten Dienstag des Monats. (Bild: Sahir_Stock - stock.adobe.com)

(ID:50263671)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.