[datensicherheit.de, 02.05.2025] Onapsis stellt in Zusammenarbeit mit Mandiant ein Open-Source-Tool zur Verfügung. Es soll Unternehmen dabei unterstützen, die SAP-Sicherheit zu stärken, indem es Indicators of Compromise (IoCs) identifiziert, die mit der aktiven Ausnutzung einer kürzlich gepatchten Schwachstelle in SAP NetWeaver Application Server Java (CVE-2025-31324) in Zusammenhang stehen.

Schwachstelle höchster Kritikalität

CVE-2025-31324 ist eine kritische, nicht authentifizierte Schwachstelle für die Remotecodeausführung in der Visual Composer-Komponente von SAP NetWeaver, die es Bedrohungsakteuren ermöglicht, die vollständige Kontrolle über bedrohte SAP-Server zu übernehmen.

Übersicht zu CVE-2025-31324

Die Schwachstelle betrifft SAP NetWeaver Java-Systeme, bei denen die Entwicklungsumgebung von Visual Composer aktiviert und nicht gepatcht ist. Bei erfolgreicher Ausnutzung haben Angreifer die volle Kontrolle über das System, einschließlich des uneingeschränkten Zugriffs auf sensible SAP-Geschäftsdaten und -prozesse, der Implementierung von Ransomware und lateraler Bewegungen. Die erste von Onapsis beobachtete Ausnutzung wurde am 14. März 2025 festgestellt. Die Bedrohungsaktivitäten haben deutlich zugenommen, auch wenn SAP am 24. April ein Notfall-Patch bereitgestellt hat.

Patches installieren und Umgebung auf Gefährdungen prüfen

Aufgrund der Kritikalität und der weiten Verbreitung wird Kunden mit gefährdeten internetbasierten SAP-Anwendungen dringend empfohlen, nicht nur Patches zu installieren, sondern auch ihre Umgebungen auf eine Gefährdung zu überprüfen.

Open-Source-Scanner

Der Open-Source-Scanner, der von Onapsis in Zusammenarbeit mit Mandiant entwickelt wurde, soll SAP-Kunden in verschiedenen Aspekten unterstützen:

• Feststellung der Anfälligkeit des Systems für CVE-2025-31324
• Identifizierung bekannter Indicators of Compromise (IOCs) hinsichtlich vorliegender Kampagneninformationen
• Scannen nach unbekannten webausführbaren Dateien in bekannten Exploit-Pfaden
• Sammeln verdächtiger Dateien in einem strukturierten ZIP-Archiv mit Verzeichnis für eine spätere Analyse
• Überprüfung des SAP HTTP-Zugriffsprotokolls (falls vorhanden) auf Einträge im Zusammenhang mit der Ausnutzung von CVE-2025-31324
• Extraktion und Speicherung von Kopien der identifizierten Protokolleinträge in einer CSV-Datei für die weitere Analyse

Es handelt sich um eine aktive Kampagne. Das Tool wird weiter aktualisiert, sobald weitere IoCs und Informationen verfügbar sind. Eine regelmäßige Überprüfung nach Updates wird vom Hersteller empfohlen.

Der Scanner steht hier im Onapis-Blog kostenlos zum Download zur Verfügung.

Handlunsgempfehlungen für Unternehmen

• Sofortige Nutzung der SAP Note 3594142
• IoC-Scanner starten, um Anzeichen einer Kompromittierung zu erkennen
• Auslösen der SAP-spezifischen Incident Response Playbooks

Die Veröffentlichung dieses Tools ist nach eigenen Angaben Teil der Bemühungen, Verteidiger bei kritischen Bedrohungen zu unterstützen.

Weitere Informationen zum Thema:

Onapsis
SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained

datensicherheit.de, 08.04.2021
Kritische SAP-Anwendungen im Fokus Cyber-Krimineller

[datensicherheit.de, 27.04.2025] Laut einer aktuellen Meldung von Onapsis wurden im April 2025 mehrere Sicherheitsvorfälle im Zusammenhang mit „SAP NetWeaver“ bekannt: Demnach sollen Cyber-Angreifer „JSP-Webshells“ ausnutzten, um unbefugte Dateiuploads und beliebigen Code auszuführen. Die Schwachstelle betreffe die „SAP Visual Composer“-Komponente von „SAP-Java“-Systemen und ermögliche es nicht authentifizierten Bedrohungsakteuren, beliebige Dateien, einschließlich Remote-Webshells, in SAP-Anwendungen hochzuladen. „Dies führt zu einer sofortigen vollständigen Kompromittierung dieser Systeme!“ Besonders kritisch sei, dass potenzielle Cyber-Angriffe herkömmliche ERP-Sicherheitsmechanismen umgehen könnten.

Onapsis fasst Erkenntnisse über kritische Zero-Day-Schwachstelle zusammen:

• Cyber-Kriminelle nutzten aktiv eine neue höchst kritische Zero-Day-Schwachstelle mit „CVSS 10.0“ in SAP-Anwendungen aus.
• Angreifer könnten die vollständige Kontrolle über kritische Geschäftsprozesse und Informationen in SAP-Anwendungen erlangen oder Ransomware installieren, welche zu weitreichenden Störungen und Verlusten führen könne.
• Die Cyber-Angriffe könnten über das Internet erfolgen und sich gegen „Cloud“-/Internet-basierte SAP-Anwendungen, aber auch gegen interne SAP-Systeme richten.
• Potenziell betroffen seien alle Kunden, welche die verwundbare Komponente „SAP NetWeaver“ in „Cloud/RISE with SAP“-Umgebungen, „cloud“-nativen und „On-Premise“-Bereitstellungsmodellen verwenden.

Gefährdete Kunden sollten schnellstmöglich den von SAP bereitgestellten Notfall-Patch einspielen. „Wenn anfällige Systeme mit dem Internet verbunden waren, sollten Kunden von einer Sicherheitsverletzung ausgehen und Notfallmaßnahmen einleiten!“

„SAP Threat Intelligence System“ von Onapsis bestätigt Möglichkeit der Schwachstellen-Ausnutzung

Das „SAP Threat Intelligence System“ von Onapsis hat die mögliche Ausnutzung der Schwachstelle bestätigt, welche zunächst von ReliaQuest offengelegt wurde. Zudem haben die „Onapsis Research Labs“ Tausende SAP-Anwendungen identifiziert, welche aufgrund dieser Schwachstelle möglicherweise dem Risiko von Cyber-Sicherheitsverletzungen ausgesetzt sind.

SAP stellte am 24. April einen Notfall-Patch zur Verfügung – gefährdete Kunden sollten diesen schnellstmöglich einspielen. „Sofern internetfähige ,Cloud’-SAP-Systeme im Einsatz sind, sollten Kunden von einer Sicherheitsverletzung ausgehen und entsprechende Notfallmaßnahmen einleiten, darunter die Anwendung von ,SAP Security Note 3594142‘ oder Überprüfung von ,3596125‘ auf mögliche Problemlösungen.“

Weitere Informationen zum Thema:

ONAPSIS
Erfahren Sie mehr über die wichtigsten Offenlegungen von ORL mit SAP und CISA

SAP
Management von Sicherheitsproblemen: SAP legt größten Wert darauf, Sicherheitsprobleme im Zusammenhang mit unserer Software und unseren Cloud-Lösungen zu ermitteln und zu beheben.

RELIAQUEST, ReliaQuest Threat Research Team, 25.04.2025
ReliaQuest Uncovers New Critical Vulnerability in SAP NetWeaver

heise online, Dirk Knop, 25.04.2025
SAP patcht kritische Schwachstelle außer der Reihe / SAP veranstaltet monatliche Patchdays. Eine kritische Sicherheitslücke nötigt das Unternehmen nun zum Update außer der Reihe.

datensicherheit.de, 08.04.2021
Kritische SAP-Anwendungen im Fokus Cyber-Krimineller / CISA und Tenable warnen vor ungepatchten SAP-Systemen

datensicherheit.de, 22.01.2021
SAP Solution Manager: Schwere Sicherheitsschwachstelle aufgetaucht / Tenable warnt vor Patch-Müdigkeit