Thought Leadership
SAP hat insgesamt 22 Security Notes veröffentlicht, darunter fünf HotNews-Einträge. Die schwerwiegendste Schwachstelle – intern OVERPASS genannt, geführt als CVE-2026-44756 – betrifft die Verarbeitung von Extended-Passport-Daten im SAP-Kernel und erreicht mit CVSS 10,0 den höchstmöglichen Wert.
Ein nicht authentifizierter Angreifer kann über eine präparierte Netzwerkanfrage mit fehlerhaftem EPP-Header eine Speicherbeschädigung auslösen. Die Schwachstelle ist über mehrere Wege erreichbar – Web (ICM), SAP GUI und RFC. Hinweise auf eine Ausnutzung liegen bislang nicht vor; ein umgehendes Einspielen der Patches wird dennoch dringend empfohlen.
OVERPASS (CVE-2026-44756) ist eine stapelbasierte Buffer-Overflow-Schwachstelle (stack-based buffer overflow), die in der im SAP-Kernel implementierten Extended-Passport-Processing-Bibliothek (EPP) besteht. Sie ermöglicht es entfernten Angreifern, beliebige Betriebssystembefehle auf dem SAP-Host mit administrativen SAP-Rechten auszuführen, was zu einer vollständigen Kompromittierung der zugrunde liegenden SAP-Geschäftsdaten und -prozesse führt. Das EPP stellt ein Tracing-Tag bereit, das Clients ihren Anfragen anhängen, damit Administratoren eine Anfrage über verbundene Systeme hinweg validieren können – noch bevor Autorisierungsdetails geprüft werden. Ein Angreifer kann ein fehlerhaft formatiertes Tag übergeben, um den Prozess zu übernehmen, der die Anfrage verarbeitet, und eigene Befehle auf dem Server auszuführen.
SAP-Schwachstelle: Patchen zwingend notwendig
Glücklicherweise gibt es bislang keine öffentlichen Exploits oder PoCs. Da der Patch jedoch bereits veröffentlicht wurde, ist zu erwarten, dass diese auf Basis der Patch-Diff-Informationen bald auftauchen, da SAP-Systeme in der CISA-KEV-Liste prominent vertreten sind. Da die betroffene Komponente Teil von Installationen von S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager ist, ist es wichtig, alle Versionen zu patchen.
SAP-Systeme führen wichtige Funktionen wie Finanzwesen, Lohnbuchhaltung und Lieferkette aus, und in der Regel erfordert ein Kernel-Patch einen Systemneustart – der schwierig zu planen sein kann. Zudem ist die Schwachstelle auf drei verschiedenen Wegen erreichbar: über die Web-Schicht (ICM oder Web Dispatcher, also HTTP), die SAP-GUI-Schicht und die RFC-Schicht, die SAP-Systeme miteinander verbindet. Das bedeutet, dass ein System, das nicht mit dem Internet verbunden ist, dennoch über die SAP-GUI-Schicht angreifbar ist.
Es gibt eine vom Hersteller bereitgestellte Anleitung, um die HTTP-Angriffsfläche vorübergehend zu mindern. Diese deckt jedoch nicht die GUI-/RFC-Wege ab. Das bedeutet ein zwingendes Patchen zunächst der internetzugänglichen Systeme, gefolgt von den internen Systemen. Dies ist nicht optional, da der SAP-GUI-Weg auf jedem Anwendungsserver konstruktionsbedingt offen ist. Organisationen können die Erreichbarkeit außerdem reduzieren, indem sie SAProuter/Jump-Hosts/Web Dispatcher als Härtungsmaßnahmen einsetzen, und sollten während des Rollouts auf Ausnutzung überwachen.
