NCSC-2025-0275

SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder in SAP NetWeaver, SAP NetWeaver Application Server Java en SAP Landscape Transformation.

De kwetsbaarheden bevinden zich onder andere in de RMI-P4 module en de SAP NetWeaver AS Java platform.

De kwetsbaarheid met kenmerk CVE-2025-42944 betreft een deserialisatieprobleem dat kan worden misbruikt door niet-geauthenticeerde aanvallers, wat kan leiden tot willekeurige OS-commando-executie. Dit bedreigt de vertrouwelijkheid, integriteit en beschikbaarheid van de applicatie.

De kwetsbaarheid met kenmerk CVE-2025-42922 stelt geauthenticeerde niet-administratieve gebruikers in staat om willekeurige bestanden te uploaden via de Deploy Web Service-functie. Dit kan ook leiden tot compromittering van systeemvertrouwelijkheid, integriteit en beschikbaarheid.

SAP heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.

medium

high

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Improper Control of Generation of Code ('Code Injection')

Execution with Unnecessary Privileges

Improper Authentication

Missing Authentication for Critical Function

Predictable from Observable State

Cross-Site Request Forgery (CSRF)

Improper Resource Shutdown or Release

Deserialization of Untrusted Data

Weak Password Requirements

Insufficiently Protected Credentials

Unchecked Input for Loop Condition

Allocation of Resources Without Limits or Throttling

Missing Authorization

Incorrect Authorization

Use of Web Link to Untrusted Target with window.opener Access

Improper Validation of Specified Type of Input

Dependency on Vulnerable Third-Party Component