Mobile-Menu

SAP Patchday Oktober 2025 CVSS-10.0-Schwachstelle in SAP Netweaver wird erneut gepatcht

Von Melanie Staudacher 2 min Lesedauer

SAP muss erneut nachbessern: Beim Patchday im Oktober 2025 liefert der Konzern abermals ein Update für die kritische Netweaver-Sicherheitslücke CVE-2025-42944. Ungepatchte Systeme erlauben Angreifern die Ausführung beliebiger OS-Befehle.

In SAP Netweaver, dem Print Service und Supplier Relationship Management muss SAP kritische Sicherheitslücken stopfen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
In SAP Netweaver, dem Print Service und Supplier Relationship Management muss SAP kritische Sicherheitslücken stopfen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Beim Patchday vom SAP muss der Hersteller erneut einen Patch für die Schwachstelle CVE­2025-42944 liefern. Diese hätte eigentlich mit dem Sicherheitsupdate des SAP Patchdays im September geschlossen werden sollen, doch wie es scheint, bekommt der Software-Gigant die Sicherheitslücke nicht in den Griff.

Ausführung beliebiger Betriebssystembefehle in Netweaver

Dabei ist ein funktionierender Patch für CVE-2025-42944 (CVSS-Score 10.0) mehr als dringend. Denn aufgrund eines Deserialisierungsfehlers können nicht authentifizierte Cyberangreifer Netweaver-Systeme über das RMI-P4-Modul ausnutzen, indem sie schädliche Nutzdaten an einen offenen Port senden. Werden solche nicht vertrauenswürdigen Java-Objekte deserialisiert, könnte dies zur Ausführung beliebiger Betriebssystembefehle führen. Konkret betroffen von der kritischen Schwachstelle ist SAP NetWeaver AS Java in der Version 7.50. Admins sollten den gelieferten Patch schnellstmöglich installieren.

Überschreibung von Systemdateien im Print Service möglich

Eine weitere kritische Sicherheitslücke, die beim Patchday im Oktober geschlossen wurde, ist CVE-2025-42937 (CVSS-Score 9.8). Sie betrifft den SAP Print Service in den Versionen 8.00 und 8.10. Eine unzureichende Validierung der von den Usern angegebenen Pfadinformationen sorgt dafür, dass ein nicht authentifizierter Angreifer in das übergeordnete Verzeichnis eindringen könnte. Dort könnte er Systemdateien überschreiben.

Schmuggeln von Schadsoftware im Supplier Relationship Management

Aufgrund fehlender Überprüfung des Dateityps oder -inhalts können Cyberkriminelle, die es geschafft haben sich zu authentifzieren, die Sicherheitslücke CVE-2025-42910 (CVSS-Score 9.0) ausnutzen und im SAP Supplier Relationship Management beliebige Dateien hochladen. Diese Dateien könnten ausführbare Dateien enthalten, die vom Benutzer heruntergeladen und aus­geführt werden und Schadsoftware enthalten könnten. Betroffen von dieser Schwachstelle sind die Versionen SRMNXP01 100 und 150.

Neben diesen drei kritischen Schwachstellen hat SAP diesen Monat Patches für zehn weitere, neue Sicherheitslücken veröffentlicht. Diese sind:

  • CVE-2025-5115, CVSS-Score 7.5
  • CVE-2025-48913, CVSS-Score 7.1
  • CVE-2025-42901, CVSS-Score 5.4
  • CVE-2025-42908, CVSS-Score 5.4
  • CVE-2025-42906, CVSS-Score 5.3
  • CVE-2025-42902, CVSS-Score 5.3
  • CVE-2025-42939, CVSS-Score 4.3
  • CVE-2025-42903, CVSS-Score 4.3
  • CVE-2025-31672, CVSS-Score 3.5
  • CVE-2025-42909, CVSS-Score 3.0

Folgende Sicherheitslücken, die schon einmal gepatcht wurden, haben wie CVE-2025-42944 ein Update erhalten:

(ID:50584667)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte