Drei CVSS-10.0-Lücken in SAP-Lösungen im November-Patchday

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: SAP-Systeme mit ICM, Web Dispatcher oder Gateway

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Volle Übernahme

Was zu tun ist

Sicherheitsupdates aus dem November-Patchday von SAP prüfen und einspielen
Prüfen, ob ICM, Web Dispatcher und Gateway im eigenen Betrieb eingesetzt werden

Kurz gesagt

SAP hat im November-Patchday ungewöhnlich viele Sicherheitsupdates veröffentlicht, darunter drei Lücken mit CVSS-Basiswert 10.0.
Zwei der kritischen Schwachstellen betreffen ICM und Web Dispatcher, eine das Gateway.
Unter bestimmten Voraussetzungen lassen sich dadurch Systembefehle ausführen.

Warum es wichtig ist

Systembefehle auf SAP-Servern auszuführen bedeutet im schlimmsten Fall die Übernahme ganzer Systeme. Wer SAP-Lösungen in Unternehmen betreibt, sollte die Patches zeitnah prüfen und einspielen.

Die Checkliste hinter dem Tier

Checkliste · 3 von 10 mit Ja

Ja	Trifft Tech-Teams	Begründung: SAP-Komponenten ICM, Web Dispatcher und Gateway werden von IT- und Ops-Teams in Unternehmen betrieben.
Nein	Kerninfrastruktur	Begründung: Einzelner Hersteller-Stack (SAP), nicht Software, die fast jedes Team betreibt.
Ja	Verbreitetes Werkzeug	Begründung: SAP-Plattformen sind in Großunternehmen weit verbreitet.
Nein	Wird ausgenutzt	Security-Insider: Berichtet nur über Schwachstellen, keine beobachteten Angriffe.
Nein	Exploit öffentlich	Security-Insider: Keine Angaben zu veröffentlichtem Exploit-Code oder PoC.
Nein	Aus der Ferne, ohne Login	Security-Insider: Nennt nur 'bestimmte Voraussetzungen', keine Angabe zu Netzzugriff ohne Anmeldung.
Ja	Volle Übernahme	Security-Insider: Lücken ermöglichen die Ausführung von Systembefehlen, also Codeausführung.
Nein	Geheimnisse offengelegt	Security-Insider: Keine Angaben zu gestohlenen Daten oder Geheimnissen.
Nein	Lieferkette	Security-Insider: Keine Hinweise auf kompromittierte Pakete, Updates oder Build-Pipelines.
Nein	Noch kein Fix	Security-Insider: Im November-Patchday wurden Korrekturen veröffentlicht, daher kein offener Fix berichtet.

Quelle

Drei CVSS-10.0-Schwachstellen in SAP-Lösungen ↗ Security-Insider | News | RSS-Feed · vor 47 Min.

Zuerst gesehen vor 47 Min. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden