SAP Security Patch Day - August 2025: Kritische Schwachstellen und Schutzmaßnahmen

Im August hat SAP mehrere kritische und hochgefährliche Schwachstellen veröffentlicht, die Unternehmen dringend schließen sollten. Besonders auffällig ist, dass erneut mehrere Code-Injection-Sicherheitslücken in zentralen SAP-Komponenten entdeckt wurden, die eine vollständige Systemübernahme ermöglichen.

In diesem Beitrag fassen wir die wichtigsten Schwachstellen zusammen und geben klare Empfehlungen für eure SAP-Sicherheitsstrategie.

Aufteilung der Schwachstellen

Kritische Schwachstellen im August 2025

1. CVE-2025-42957 – Code-Injection-Schwachstelle in SAP S/4HANA (Private Cloud oder On-Premise) (3627998)

• CVSS-Score: 9,9 – Sehr hohe Priorität 

• Beschreibung: Ein Angreifer mit Benutzerberechtigungen kann einen über RFC exponierten Funktionsbaustein ausnutzen, um beliebigen ABAP-Code einzuschleusen und grundlegende Berechtigungsprüfungen zu umgehen. Dies kann zu einer vollständigen Systemkompromittierung führen und Vertraulichkeit, Integrität und Verfügbarkeit gefährden.

  
  

• Lösung: Einspielen der im Hinweis referenzierten Korrekturanleitung oder Support Packages. Die Korrektur verhindert die Ausführung von beliebigem Code. Keine Behelfslösung verfügbar.

---

2. CVE-2025-42950 – Code-Injection-Schwachstelle in SAP Landscape Transformation (Analyseplattform) (3633838)

• CVSS-Score: 9,9 – Sehr hohe Priorität 

• Beschreibung: Ein Angreifer mit Benutzerberechtigungen kann über einen RFC-exponierten Funktionsbaustein beliebigen ABAP-Code ins System einschleusen und grundlegende Berechtigungsprüfungen umgehen. Dies kann zu einer vollständigen Kompromittierung führen.

• Lösung: Einspielen der im Hinweis referenzierten Korrekturen oder Support Packages. Die Korrektur verhindert die Ausführung beliebiger Codes. Keine Behelfslösung verfügbar.

---

3. CVE-2025-27429 – Code-Injection-Schwachstelle in SAP S/4HANA (Private Cloud oder On-Premise) (3581961)

• CVSS-Score: 9,9 – Sehr hohe Priorität 

• Beschreibung: Durch Ausnutzung eines RFC-exponierten Funktionsbausteins können Angreifer mit Benutzerrechten beliebigen ABAP-Code einschleusen und so grundlegende Berechtigungsprüfungen umgehen.

• Lösung: Einspielen der im Hinweis referenzierten Korrekturen oder Support Packages. Die Korrektur verhindert Code-Injection-Angriffe. Keine Behelfslösung verfügbar.

---

4. CVE-2025-42951 – Fehlerhafte Berechtigung in SAP Business One (SLD) (3625403)

• CVSS-Score: 8,8 – Hohe Priorität 

• Beschreibung: Ein authentifizierter Angreifer kann über ein API Administratorrechte für eine Datenbank erlangen. Dies kann Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigen.

• Lösung: API-Zugriffe für normale Benutzer werden entzogen. Landschaftsverwaltungsaufgaben erfordern nun eine explizite Administratoranmeldung. Einspielen der referenzierten Patches. Keine Behelfslösung verfügbar.

  
  

---

5. CVE-2025-42976 – Speicherbeschädigung in SAP NetWeaver AS ABAP (BIC Dokument) (3611184)

• CVSS-Score: 8,1 – Hohe Priorität 

• Beschreibung: Ein authentifizierter Angreifer kann durch spezielle Anfragen Speicherfehler auslösen, die zu Abstürzen führen oder das Auslesen sensibler Informationen ermöglichen.

• Lösung: Verbesserung der Eingabevalidierung. Einspielen der Korrekturen oder Support Packages. Optional: Deaktivierung des SICF-Service BIC als temporäre Maßnahme.

Handlungsempfehlungen für Unternehmen 

Um SAP-Systeme bestmöglich gegen Angriffe abzusichern, solltet ihr die folgenden Maßnahmen zeitnah umsetzen:

1. Patches mit CVSS >9,0 priorisiert einspielen

2. Berechtigungsmanagement prüfen und absichern

3. Eingabevalidierung und Servicehärtung umsetzen

4. Monitoring- und Alarmierungstools einsetzen (z. B. SecurityBridge)

5. Awareness und Dokumentation

Wie Go Next Consulting euch bei der Absicherung eurer SAP-Systeme unterstützt

Wir bieten Managed Security Services, um Unternehmen bei der Identifikation, Bewertung und Behebung von Sicherheitslücken in SAP-Systemen zu unterstützen.

Unsere Leistungen im Überblick:

✅ Regelmäßige Sicherheits-Checks:

Proaktive Überwachung und Analyse potenzieller Bedrohungen

✅ Patch-Management:

Unterstützung bei der schnellen und reibungslosen Implementierung von SAP-Sicherheitsupdates --> siehe Managed SAP Security Notes Service

✅ Schwachstellen-Scans:

Identifikation von Sicherheitslücken in Echtzeit mit modernen Security-Tools wie SecurityBridge

✅ Risikominimierung:

Strategien zur Stärkung der SAP-Sicherheitsarchitektur, ohne den laufenden Betrieb zu gefährden

Mit unserer Expertise im Bereich SAP Security Management helfen wir euch, euer System kontinuierlich zu schützen und Angriffsrisiken zu minimieren.

Klicke hier, um mehr über unsere Managed Services zu erfahren.

Fazit zum SAP Security Patch Day im August

Der August SAP Security Patch Day bringt erneut mehrere kritische Schwachstellen mit sich, insbesondere im Bereich Code Injection, die bei drei Hinweisen den Maximalwert im CVSS-Score erreichen. Unternehmen sollten zeitnah handeln und die entsprechenden Support Packages oder Korrekturen einspielen.

Wer Sicherheitsrisiken minimieren will, sollte die Hinweise nicht nur zügig einspielen, sondern auch grundlegende Konzepte zur Härtung und Überwachung etablieren. Wir helfen euch gern dabei!

Bleibt wachsam und up-to-date!