SAP hat im November 43 neue und aktualisierte Security Notes veröffentlicht, darunter 12 HotNews. Auf die Onapsis Research Labs gehen 24 Notes zurück, darunter zwei Schwachstellen mit dem Höchstwert 10.0.
Der SAP Security Patch Day im November fällt deutlich umfangreicher aus als üblich. Laut dem Sicherheitsspezialisten Onapsis hat SAP mit 43 neuen und aktualisierten Security Notes eine Rekordzahl veröffentlicht, darunter 12 HotNews und 13 High Priority Notes. Zwei der Schwachstellen, ICM2SHELL und PROXYGATE, erreichen den maximalen CVSS-Wert von 10.0 und ermöglichen entfernten Angreifern, ohne Anmeldung Betriebssystembefehle auf einem SAP-Host auszuführen.
Die Onapsis Research Labs haben maßgeblich zu dieser Ausgabe beigetragen. Nach Angaben des Unternehmens gehen 24 der Security Notes auf seine Meldungen zurück und adressieren insgesamt 36 Schwachstellen; 14 davon wurden gemeinsam mit XBOW entdeckt und an SAP gemeldet. Sieben der 12 HotNews und zehn der 13 High Priority Notes wurden unter Beteiligung des Labors gemeldet. Onapsis bewertet die zusammen 25 HotNews und High Priority Notes als deutlich über dem üblichen Monatsdurchschnitt und rät Unternehmen, sämtliche Schwachstellen zu bewerten und die Exposition ihrer kritischen SAP-Landschaften kontinuierlich im Blick zu behalten.
ICM2SHELL (CVE-2026-76964 und CVE-2026-89126) betrifft die Verarbeitung von WebSocket-Datenverkehr durch den SAP Internet Communication Manager (ICM). Derselbe Code wird vom SAP Web Dispatcher genutzt, sodass beide Komponenten betroffen sind. Eine erfolgreiche Ausnutzung ermöglicht es einem nicht authentifizierten Angreifer, Betriebssystembefehle mit den Rechten des SAP-Administratorbenutzers (<sid>adm) auszuführen und das System vollständig zu übernehmen. Zudem könnten Angreifer den ICM oder Web Dispatcher zum Absturz bringen und die dahinterliegenden Webdienste unterbrechen. Wo Dienste WebSocket-Verbindungen ohne Authentifizierung akzeptieren, sind weder Zugangsdaten noch eine Benutzerinteraktion erforderlich; ob eine nicht authentifizierte Ausnutzung möglich ist, hängt von der Kernel-Version ab. Die Onapsis Research Labs schätzen, dass Tausende SAP-Systeme mit ICM-basierten HTTP-Schnittstellen über das öffentliche Internet erreichbar sein könnten. Das Abschalten der WebSocket-Unterstützung ist als Workaround denkbar, doch Onapsis rät wegen der Auswirkungen auf interaktive und Integrationsszenarien davon ab.
PROXYGATE (CVE-2026-89103) zielt auf das SAP Gateway. Mit einer speziell präparierten Folge von Datenpaketen kann ein externer Angreifer dem Gateway vortäuschen, zu einem internen Host des SAP-Systems zu gehören. Die Zugriffskontrolllisten des Gateways genehmigen die Anfrage dann, und Betriebssystembefehle laufen mit den Rechten von <sid>adm. Laut Onapsis verhindern auch gehärtete Listen vom Typ secinfo und reginfo den Angriff nicht. Entscheidend ist die weniger beachtete Proxy-Zugriffskontrollliste prxyinfo, die in mehreren Standardkonfigurationen offen bleibt. Die Schwachstelle erlaubt zudem die laterale Bewegung zu allen weiteren Anwendungsservern des betroffenen Systems. Nach dem Einspielen des Patches müssen Kunden laut Onapsis zusätzlich manuell einen Profilparameter setzen.
In seiner vollständigen Analyse zählt Onapsis insgesamt vier Notes mit einem CVSS-Wert von 10.0. Neben den Notes zu ICM, Web Dispatcher und Gateway gehört dazu eine fehlende Authentifizierungsprüfung im SAML2 Service Provider von SAP NetWeaver AS ABAP, über die nicht authentifizierte Angreifer beliebige Benutzer imitieren könnten.
Über die beiden prominenten Schwachstellen hinaus enthält die HotNews-Liste mehrere weitere kritische Einträge. Vier Notes sind mit CVSS 9.9 bewertet, darunter eine fehlende Berechtigungsprüfung in S4CRM, eine Betriebssystembefehls-Injektion im ABAP-Anwendungsserver und eine Code-Injektion in SAP NetWeaver Knowledge Management (XML Forms), die Onapsis gemeinsam mit XBOW gefunden hat. Zwei HotNews betreffen die SAP Business AI Platform: eine Speicherbeschädigung im Node.js-Brotli-Decoder und die sogenannte php2shell-Kette, zwei Schwachstellen in PHP zur Remote-Codeausführung, die sich in einem Angriff kombinieren lassen; beide sind mit CVSS 9.8 bewertet. Weitere Notes betreffen Cross-Site Request Forgery im Web Dispatcher und ICM (CVSS 9.6) sowie eine XML-External-Entity-Schwachstelle in SAP BusinessObjects (CVSS 9.1).
Die High Priority Notes werden von Speicherbeschädigungen und Denial-of-Service-Schwachstellen in Komponenten wie dem Message Server, dem Internet Graphics Service und dem Web Dispatcher geprägt, von denen mehrere ohne Authentifizierung Prozesse zum Absturz bringen können. Eine Note behebt eine fehlende Authentifizierungsprüfung in der SAP-NetWeaver-AS-Java-Anwendung EDM, indem die Anwendung bei SUM-Updates aus den Kundensystemen entfernt wird; SAP hat sie zudem aus dem SAP Marketplace genommen. Acht weitere Notes geringerer Schwere, darunter Cross-Site Scripting und Server-Side Request Forgery, runden den Beitrag des Labors ab.
Nach aktuellem Kenntnisstand von Onapsis gibt es keine Hinweise auf eine aktive Ausnutzung. Onapsis und SAP empfehlen dennoch, die verfügbaren Patches umgehend einzuspielen. Das Unternehmen erklärt, seine Plattform bereits um die neu veröffentlichten Schwachstellen zu erweitern. Nach Angaben des Unternehmens waren Kunden der Lösung Onapsis Defend schon vor Veröffentlichung der Patches vor einer Ausnutzung geschützt.
Für SAP-Teams bedeutet das Volumen eine anspruchsvolle Woche, und die beiden maximal bewerteten Schwachstellen sind der naheliegende Ausgangspunkt, da beide eine nicht authentifizierte Befehlsausführung erlauben. Die Onapsis Research Labs besprechen die Schwachstellen heute, am 12. November, um 16 Uhr MEZ (10:00 Uhr EST) in einem Threat-Briefing mit dem Titel „Navigating November’s Historic SAP Security Patch Day“.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de