top of page
Suche

SAP Security Patch Day - November 2025: Kritische Schwachstellen und Maßnahmen

  • Autorenbild: GoNextConsulting
    GoNextConsulting
  • 11. Nov.
  • 2 Min. Lesezeit

Es ist wieder Security Patch Day und auch im November hat SAP mehrere sicherheitsrelevante Hinweise veröffentlicht. Darunter finden sich erneut kritische Schwachstellen mit sehr hohen CVSS-Werten, die Unternehmen umgehend adressieren sollten.


In diesem Beitrag geben wir einen Überblick über die wichtigsten Sicherheitslücken und die notwendigen Maßnahmen.


SAP Security Patch Day November
Aufteilung der Schwachstellen

Kritische Schwachstellen im November 2025


1. CVE-2025-42944 – Unsichere Deserialisierung in SAP NetWeaver AS Java (3660659)


  • CVSS-Score: 10,0 – Sehr hohe Priorität 

  • Beschreibung: Durch eine unsichere Deserialisierung von JDK- und Drittanbieterklassen kann ein Angreifer speziell gestaltete Eingaben einschleusen und damit beliebigen Code im System ausführen. Das Risiko betrifft insbesondere RMI/P4-Kommunikation und kann zur vollständigen Kompromittierung führen.

  • Lösung: Einspielen der genannten Support Packages; optionale zusätzliche Härtung über den JVM-Parameter jdk.serialFilter; Voraussetzung: JVM-Version > 8u121.



2. CVE-2025-42890 – Unsicheres Schlüssel- und Geheimmanagement in SQL Anywhere Monitor (3666261)

  • CVSS-Score: 10,0 – Sehr hohe Priorität 

  • Beschreibung: Fest programmierte Anmeldeinformationen im SQL Anywhere Monitor (Nicht-GUI) können unautorisierten Zugriff und Codeausführung ermöglichen. Dadurch sind Vertraulichkeit, Integrität und Verfügbarkeit erheblich gefährdet.

  • Lösung: Der SQL Anywhere Monitor wird vollständig entfernt; bestehende Datenbanken (samonitor.db) müssen gelöscht werden. SAP empfiehlt die Nutzung des SQL Anywhere Cockpit.



3. CVE-2025-42887 – Code-Injection-Schwachstelle in SAP Solution Manager (3668705)

  • CVSS-Score: 9,9 – Sehr hohe Priorität 

  • Beschreibung: Ein authentifizierter Angreifer kann aufgrund fehlender Eingabebereinigung im remote-fähigen Funktionsbaustein schädlichen ABAP-Code einschleusen und dadurch vollständige Systemkontrolle erlangen.

  • Lösung: Eingabebereinigung implementiert, nicht alphanumerische Zeichen werden abgewiesen; Einspielen der Korrekturen zwingend erforderlich, keine Behelfslösung vorhanden.



4. CVE-2025-42940 – Speicherbeschädigung in SAP CommonCryptoLib (3633049)

  • CVSS-Score: 7,5 – Hohe Priorität 

  • Beschreibung: Fehlende Grenzprüfungen beim Parsen von ASN.1-Daten können zu einer Speicherbeschädigung und einem Systemabsturz führen. Die Verfügbarkeit des Systems ist dadurch erheblich beeinträchtigt.

  • Lösung: Update auf CommonCryptoLib 8.5.60 oder höher; SAP-Hinweis 3628110 beachten, um sicherzustellen, dass abhängige Komponenten mitgepatcht werden.



SAP Security Updates

Handlungsempfehlungen 


Um eure SAP-Systeme bestmöglich gegen Angriffe abzusichern, solltet ihr die folgenden Maßnahmen zeitnah umsetzen:


  1. Patches zeitnah einspielen, insbesondere bei CVSS-Werten über 9,0.

  2. Patches regelmäßig prüfen, denn auch Re-Releases enthalten oft neue Komponenten. 

  3. Testumgebungen nutzen, bevor Updates in produktiven Systemen eingespielt werden.

  4. Überwachungstools einsetzen, z. B. SecurityBridge, um Schwachstellen in Echtzeit zu erkennen.

  5. Regelmäßige Security-Checks, um auch abseits der Patchdays sicherheitsrelevante Risiken zu identifizieren.



Wie Go Next Consulting euch bei der Absicherung eurer SAP-Systeme unterstützt


Wir bieten Managed Security Services, um Unternehmen bei der Identifikation, Bewertung und Behebung von Sicherheitslücken in SAP-Systemen zu unterstützen.


Unsere Leistungen im Überblick:


✅ Regelmäßige Sicherheits-Checks:

Proaktive Überwachung und Analyse potenzieller Bedrohungen


✅ Patch-Management:

Unterstützung bei der schnellen und reibungslosen Implementierung von SAP-Sicherheitsupdates





✅ Schwachstellen-Scans:

Identifikation von Sicherheitslücken in Echtzeit mit modernen Security-Tools wie SecurityBridge


✅ Risikominimierung:

Strategien zur Stärkung der SAP-Sicherheitsarchitektur, ohne den laufenden Betrieb zu gefährden


Mit unserer Expertise im Bereich SAP Security helfen wir euch, eure Systeme kontinuierlich zu schützen und Angriffsrisiken nachhaltig zu minimieren.




Fazit zum SAP Security Patch Day im November


Der Patch Day im November 2025 unterstreicht erneut, wie kritisch Sicherheitslücken in zentralen SAP-Komponenten wie NetWeaver AS Java, Solution Manager und SQL Anywhere sind. Ein konsequentes Patch- und Berechtigungsmanagement ist daher unerlässlich und sollte zeitnah umgesetzt werden.


Wir helfen euch gerne dabei!


Bleibt wachsam und up-to-date! 

bottom of page