SAP hat im September 22 Security Notes veröffentlicht. Im Zentrum steht eine kritische Schwachstelle namens OVERPASS, die beliebige Befehlsausführungen ermöglicht.
IT-Sicherheitsteams stehen nach den neuesten Sicherheitsupdates von SAP vor einer dringenden Patch-Aufgabe. Unter den insgesamt 22 veröffentlichten Security Notes und fünf HotNews-Einträgen sticht eine Schwachstelle mit dem maximalen CVSS-Wert von 10,0 heraus: CVE-2026-44756, intern als OVERPASS bezeichnet. Die Lücke befindet sich in der Extended-Passport-Processing-Bibliothek (EPP) des SAP-Kernels und ermöglicht nicht authentifizierten Angreifern die Ausführung beliebiger Betriebssystembefehle mit administrativen Rechten.
Die Schwachstelle betrifft den Extended-Passport-Mechanismus. Dieser stellt ein Tracing-Tag bereit, das Anfragen angehängt wird, damit Administratoren Anfragen über verbundene Systeme hinweg prüfen können – noch bevor Autorisierungsdetails ausgewertet werden. Durch das Senden einer präparierten Netzwerkanfrage mit einem fehlerhaften EPP-Header kann ein entfernter Angreifer eine Speicherbeschädigung in Form eines stapelbasierten Buffer-Overflows auslösen. Dadurch wird der verarbeitende Prozess übernommen, was zur vollständigen Kompromittierung der zugrunde liegenden Geschäftsdaten, Finanzsysteme und Lieferkettenprozesse führen kann.
Sicherheitsexperten betonen die enorme Angriffsfläche von OVERPASS. Die betroffene EPP-Bibliothek ist fester Bestandteil fast aller zentralen SAP-Lösungen, darunter S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager. Zudem ist die Lücke über drei Vektoren erreichbar: über die Web-Schicht (ICM/Web Dispatcher via HTTP), die SAP-GUI-Schicht sowie die RFC-Schicht zur Systemvernetzung.
Mayuresh Dani, Security Research Manager bei der Qualys Threat Research Unit (TRU), warnt vor falscher Sicherheit bei isolierten Systemen:
„OVERPASS (CVE-2026-44756) ist eine stapelbasierte Buffer-Overflow-Schwachstelle (stack-based buffer overflow), die in der im SAP-Kernel implementierten Extended-Passport-Processing-Bibliothek (EPP) besteht. Sie ermöglicht es entfernten Angreifern, beliebige Betriebssystembefehle auf dem SAP-Host mit administrativen SAP-Rechten auszuführen, was zu einer vollständigen Kompromittierung der zugrunde liegenden SAP-Geschäftsdaten und -prozesse führt. Das EPP stellt ein Tracing-Tag bereit, das Clients ihren Anfragen anhängen, damit Administratoren eine Anfrage über verbundene Systeme hinweg validieren können – noch bevor Autorisierungsdetails geprüft werden. Ein Angreifer kann ein fehlerhaft formatiertes Tag übergeben, um den Prozess zu übernehmen, der die Anfrage verarbeitet, und eigene Befehle auf dem Server auszuführen.
Glücklicherweise gibt es bislang keine öffentlichen Exploits oder PoCs. Da der Patch jedoch bereits veröffentlicht wurde, ist zu erwarten, dass diese auf Basis der Patch-Diff-Informationen bald auftauchen, da SAP-Systeme in der CISA-KEV-Liste prominent vertreten sind. Da die betroffene Komponente Teil von Installationen von S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager ist, ist es wichtig, alle Versionen zu patchen.
SAP-Systeme führen wichtige Funktionen wie Finanzwesen, Lohnbuchhaltung und Lieferkette aus, und in der Regel erfordert ein Kernel-Patch einen Systemneustart – der schwierig zu planen sein kann. Zudem ist die Schwachstelle auf drei verschiedenen Wegen erreichbar: über die Web-Schicht (ICM oder Web Dispatcher, also HTTP), die SAP-GUI-Schicht und die RFC-Schicht, die SAP-Systeme miteinander verbindet. Das bedeutet, dass ein System, das nicht mit dem Internet verbunden ist, dennoch über die SAP-GUI-Schicht angreifbar ist. Es gibt eine vom Hersteller bereitgestellte Anleitung, um die HTTP-Angriffsfläche vorübergehend zu mindern. Diese deckt jedoch nicht die GUI-/RFC-Wege ab. Das bedeutet ein zwingendes Patchen zunächst der internetzugänglichen Systeme, gefolgt von den internen Systemen. Dies ist nicht optional, da der SAP-GUI-Weg auf jedem Anwendungsserver konstruktionsbedingt offen ist. Organisationen können die Erreichbarkeit außerdem reduzieren, indem sie SAProuter/Jump-Hosts/Web Dispatcher als Härtungsmaßnahmen einsetzen, und sollten während des Rollouts auf Ausnutzung überwachen.“
Herstellerseitige Anleitungen zur temporären Minderung der HTTP-Angriffsfläche decken die GUI- und RFC-Wege nicht ab. Da der GUI-Weg auf jedem Anwendungsserver konstruktionsbedingt offen ist, bleibt das Einspielen der Patches alternativlos.
Aktuell liegen keine Hinweise auf eine aktive Ausnutzung oder öffentliche Proof-of-Concept-Exploits vor. Dennoch ist Eile geboten: Sobald Patch-Diff-Informationen analysiert werden, entstehen erfahrungsgemäß rasch Exploits. Da SAP-Systeme regelmäßig auf der CISA-KEV-Liste vertreten sind, wird ein zwingendes Patchen zuerst der internetzugänglichen und folgend der internen Systeme dringend empfohlen. Erschwerend kommt hinzu, dass Kernel-Patches Neustarts erfordern, weshalb Unternehmen zusätzlich Härtungsmaßnahmen wie SAProuter oder Jump-Hosts nutzen sollten.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de