Update: Kritische SAP-Zero-Day-Sicherheitslücke wird aktiv ausgenutzt (CVE-2025-31324)

3. Mai 2025

Webinar zu SAP CVE-2025-31324 – erfahren Sie, wie Sie die Gefährdung bewerten, kritische Schwachstellen patchen und sich gegen aktive Angriffe schützen können.

ReliaQuest und Onapsis Threat Intelligence haben aktive Angriffe auf diese Schwachstelle beobachtet, die von mehreren IR-Unternehmen in aktuellen Untersuchungen bestätigt wurden.

SAP hat am 24. April 2025 einen Notfall-Sicherheitspatch veröffentlicht, um dieses Problem zu beheben. Die Schwachstelle ist kritisch (CVSS 10) und betrifft die Komponente SAP Visual Composer von SAP Java-Systemen, die standardmäßig nicht aktiviert ist.

Kritische Details zum Exploit:

Nicht authentifizierte Angreifer können CVE-2025-31324 ausnutzen.
Angreifer können die vollständige Kontrolle über anfällige SAP-Systeme erlangen.
Zu den Risiken gehören der uneingeschränkte Zugriff auf SAP-Geschäftsdaten und -prozesse, die Bereitstellung von Ransomware und laterale Bewegungen.
Es ist mit weiteren Angriffen auf anfällige SAP-Java-Systeme mit Internetverbindung zu rechnen.

Nicht authentifizierte Angreifer können die Schwachstelle ausnutzen, um die vollständige Kontrolle über anfällige SAP-Systeme zu erlangen, einschließlich uneingeschränktem Zugriff auf SAP-Geschäftsdaten und -Prozesse, der Bereitstellung von Ransomware in SAP und lateraler Bewegung. Angesichts der beobachteten Aktivitäten und Schwachstellenmerkmale erwarten wir eine fortgesetzte Ausnutzung gegen anfällige SAP-Java-Systeme mit Internetverbindung.

SAP und Onapsis fordern Kunden dringend auf, unverzüglich Maßnahmen zu ergreifen. Dieses Problem kann durch die Anwendung des SAP-Hinweises 3594142 behoben werden. Wenn Sie den Patch nicht rechtzeitig anwenden können, empfiehlt SAP als Abhilfemaßnahme, den Zugriff auf die anfällige Komponente zu deaktivieren oder zu verhindern. Weitere Informationen finden Sie im SAP-Hinweis 3596125.

Dringend erforderliche Maßnahmen:

SAP und Onapsis fordern Kunden dringend auf, unverzüglich Maßnahmen zu ergreifen.

Wenden Sie den SAP-Hinweis 3594142 an, um das Problem zu beheben.
Wenn Sie den Patch nicht sofort anwenden können, empfiehlt SAP, den Zugriff auf die anfällige Komponente zu deaktivieren oder zu verhindern (siehe SAP-Hinweis 3596125).

In der Zwischenzeit können Sie auch unseren ausführlichen Blog lesen und auf den CVE-2025-31324-Scanner zugreifen, um eine sofortige Bewertung vorzunehmen.