Thought Leadership
Sicherheitsexperten haben eine schwerwiegende Sicherheitslücke in SAP NetWeaver identifiziert, die unbefugten Zugriff auf Unternehmenssysteme ermöglicht. Die Schwachstelle wurde im April 2025 bekannt und betrifft speziell die Visual Composer-Komponente von SAP-Java-Systemen.
Angreifer können durch die Ausnutzung dieser Lücke JSP-Webshells einschleusen, um unbefugte Dateiuploads durchzuführen und beliebigen Code auszuführen. Besonders alarmierend sei, dass für diese Angriffe keine Authentifizierung erforderlich ist und sie herkömmliche Sicherheitsmechanismen der ERP-Systeme umgehen können.
Diese Schwachstelle wurde zunächst von ReliaQuest aufgedeckt und anschließend durch das SAP Threat Intelligence System von Onapsis bestätigt. Nach Angaben der Onapsis Research Labs sind potenziell tausende SAP-Anwendungen gefährdet.
Sofortmaßnahmen erforderlich
SAP hat umgehend reagiert und am 24. April einen Notfall-Patch veröffentlicht. Unternehmen, die SAP NetWeaver einsetzen, sollten diesen Patch unverzüglich installieren. Besonders kritisch ist die Situation für internetfähige Cloud-SAP-Systeme. Hier raten Experten dazu, von einer bereits erfolgten Sicherheitsverletzung auszugehen und entsprechende Notfallmaßnahmen einzuleiten.
Betroffene Kunden sollten die SAP Security Note 3594142 anwenden oder die Note 3596125 auf mögliche Lösungsansätze prüfen. Eine zeitnahe Reaktion ist entscheidend, da die Schwachstelle bei erfolgreicher Ausnutzung zu einer vollständigen Kompromittierung der Systeme führen kann.
Große Auswirkungen auf die Unternehmenssicherheit
Diese Sicherheitslücke reiht sich ein in eine Serie von kritischen Schwachstellen in Unternehmenssoftware, die in den letzten Jahren entdeckt wurden. Für SAP-Anwender ist besondere Vorsicht geboten, da die betroffenen Systeme häufig geschäftskritische Daten und Prozesse verwalten.
Sicherheitsexperten empfehlen neben dem Einspielen des Patches auch eine gründliche Überprüfung der Systeme auf mögliche Anzeichen einer bereits erfolgten Kompromittierung sowie die Implementierung zusätzlicher Sicherheitsmaßnahmen zum Schutz der SAP-Landschaft.
