Διόρθωση για κρίσιμα τρωτά σημεία στο SAP Solution Manager, το NetWeaver και άλλα προϊόντα

Η SAP κυκλοφόρησε 14 νέες σημειώσεις ασφαλείας τη μηνιαία Ημέρα Ενημερωμένης έκδοσης κώδικα ασφαλείας στις 9 Δεκεμβρίου 2025, αντιμετωπίζοντας ευπάθειες σε βασικά προϊόντα, όπως το SAP Solution Manager, το NetWeaver, το Commerce Cloud και άλλα.

Τρία κρίσιμα ελαττώματα με βαθμολογίες CVSS που υπερβαίνουν το 9,0 απαιτούν άμεση προσοχή από οργανισμούς που εκτελούν επηρεαζόμενα συστήματα.​

Το πιο σοβαρό ζήτημα, που παρακολουθείται ως CVE-2025-42880 με βασικό σκορ CVSS v3.0 9,9, αφορά μια ευπάθεια εισαγωγής κώδικα στο SAP Solution Manager (ST 720).

Αναλυτικά στη Σημείωση SAP 3685270, οι εισβολείς με χαμηλά προνόμια θα μπορούσαν να εκτελέσουν αυθαίρετο κώδικα, δυνητικά διακυβεύοντας ολόκληρα τοπία. Ομοίως, το CVE-2025-55754 επηρεάζει τις εκδόσεις SAP Commerce Cloud HY_COM 2205, COM_CLOUD 2211 και COM_CLOUD 2211-JDK21, που προκύπτουν από πολλαπλά ελαττώματα του ενσωματωμένου Apache Tomcat (συμπεριλαμβανομένου του CVE-AP5736, του CVE-5736).

Μια άλλη κρίσιμη ευπάθεια deserialization, το CVE-2025-42928, στοχεύει το SAP jConnect SDK για τις εκδόσεις ASE 16.0.4 και 16.1, επιτρέποντας στους χρήστες υψηλού προνομίου να διαταράσσουν τις υπηρεσίες και την ακεραιότητα δεδομένων (SAP Note 3685286).​

Αυτά τα ελαττώματα υπογραμμίζουν τους επίμονους κινδύνους στα εργαλεία διαχείρισης της επιχείρησης και στα στοιχεία cloud, όπου η εκμετάλλευση θα μπορούσε να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα ή σε πλήρη παραβίαση του συστήματος. Η SAP προτρέπει τους πελάτες να δώσουν προτεραιότητα στις ενημερώσεις κώδικα μέσω της πύλης υποστήριξης.​

Διορθώσεις υψηλής και μέσης προτεραιότητας

Οι σημειώσεις υψηλής προτεραιότητας περιλαμβάνουν το CVE-2025-42878 (CVSS 8.2), την έκθεση ευαίσθητων δεδομένων στο SAP Web Dispatcher και το ICM σε πολλές εκδόσεις πυρήνα (SAP Note 3684682) και CVE-2025-42874 (CVSS 7.9), μια υπηρεσία DoScelWeussiver στο SAP 3640185).

Πρόσθετα ζητήματα υψηλής σοβαρότητας καλύπτουν DoS σε SAP Business Objects (CVE-2025-48976, CVSS 7.5; Σημείωση 3650226), καταστροφή της μνήμης στο Web Dispatcher/ICM/Content Server (CVE-2025-42877, CVSS 7.5 και SVSS 7.5H που λείπει στο Σημείωση 4). Private Cloud (CVE-2025-42876, CVSS 7.1; Σημείωση 3672151).​

Οι μεσαίοι κίνδυνοι περιλαμβάνουν την έλλειψη ελέγχου ταυτότητας στο NetWeaver ICF (CVE-2025-42875, CVSS 6.6; Σημείωση 3591163), αποκάλυψη πληροφοριών στον διακομιστή εφαρμογών ABAP (CVE-2025-42904, CVSS 6.5 6.62SS3, Note243), Πύλη (CVE-2025-42872, CVSS 6.1; Σημείωση 3662622), DoS στο SAPUI5 (CVE-2025-42873, CVSS 5.9; Σημείωση 3676970), λείπει η ταυτότητα στο Enterprise Search (CVE-20915, CVE-20915-42 3659117) και SSRF στην πλατφόρμα BusinessObjects BI (CVE-2025-42896, CVSS 5.4; Σημείωση 3651390).​

Οι οργανισμοί θα πρέπει να σαρώνουν περιβάλλοντα χρησιμοποιώντας εργαλεία όπως το SAP EarlyWatch Alert ή σαρωτές τρίτων, δοκιμαστικά μπαλώματα σε περίπτωση μη παραγωγής και να τις εφαρμόσετε αμέσως για να μετριαστούν οι κίνδυνοι από την ένεση κώδικα, το DoS και την έκθεση δεδομένων.

Η αποτυχία επιδιόρθωσης θα μπορούσε να εκθέσει τα κρίσιμα για την αποστολή συστήματα σε εκμετάλλευση εν μέσω αυξανόμενων επιθέσεων με στόχο το SAP.​