SAP 修复 NetWeaver 应用服务器中的关键漏洞

SAP 修复了两个影响 NetWeaver Web 应用服务器的关键漏洞，这些漏洞可被利用来升级权限和访问受限信息。

作为一月份安全补丁日的一部分，供应商还发布了其他产品的更新，以修补另外 12 个被评为中度和高度严重的问题。

SAP 公司在安全公告中写道：“SAP 强烈建议客户访问支持门户网站，优先应用补丁程序，以保护他们的 SAP 系统。”

SAP 本月解决的四个最严重的安全问题概述如下：

• CVE-2025-0070，严重程度，9.9 分）： SAP NetWeaver Application Server for ABAP 和 ABAP Platform 中不正确的身份验证允许通过身份验证的攻击者利用不正确的身份验证检查，导致权限升级并严重影响保密性、完整性和可用性。
• CVE-2025-0066，严重程度，9.9 分：由于访问控制薄弱，SAP NetWeaver AS for ABAP 和 ABAP Platform（Internet Communication Framework）中存在信息披露漏洞，攻击者可访问受限信息，严重影响保密性、完整性和可用性。
• CVE-2025-0063，高度严重性，8.8 分： SAP NetWeaver AS ABAP 和 ABAP 平台中的 SQL 注入漏洞源于某些 RFC 功能模块缺乏授权检查。这允许拥有基本权限的攻击者入侵 Informix 数据库，导致完全丧失机密性、完整性和可用性。
• CVE-2025-0061，高度严重性，8.7 分： SAP BusinessObjects Business Intelligence Platform 中存在多个漏洞，由于存在信息披露问题，未经身份验证的攻击者可通过网络执行会话劫持。这使攻击者能够访问和修改所有应用程序数据。

影响和建议

SAP 产品服务于制造、金融、零售、医疗保健和政府等行业的大型企业，在管理业务运营和客户关系方面发挥着重要作用。

SAP NetWeaver 是运行 ABAP 应用程序并通过 Internet Communication Framework 实现安全通信的核心平台。企业的 IT 管理员、开发人员和顾问通常使用它来管理财务、人力资源和供应链方面的 ERP 系统。

SAP BusinessObjects 是一个报表、分析和数据可视化平台，供分析师、决策者和 IT 团队使用，以获得洞察力并支持战略决策。

过去，黑客曾以 SAP 产品为攻击目标，因为这些产品没有针对已知漏洞进行更新，或者配置不当，导致网络暴露在漏洞之下。

这家德国供应商强烈建议客户应用最新的补丁程序，以保护其 SAP 环境。