SAP closed the critical command running deficit in Netweaver: CVSS 10/10 level of security was resolved

Kurumsal yazılım üreticisi SAP, Eylül 2025 güvenlik güncellemeleri kapsamında ürünlerinde tespit edilen 21 güvenlik açığını giderdi. En dikkat çekici sorun, Netweaver RMIP4 Servercore 7.50 sürümünde keşfedilen ve CVSS 10/10 puanıyla maksimum şiddette değerlendirilen CV-2025-42944 oldu.

Bu zafiyet, Insecure Deserialization (güvensiz serileştirme) sorunundan kaynaklanıyor. Kimliği doğrulanmamış bir saldırgan, RMI-P4 protokolü üzerinden kötü amaçlı Java nesneleri göndererek hedef sistemde keyfi komut çalıştırabiliyor. RMI-P4, NetWeaver AS Java bileşenlerinde SAP içi iletişim ve yönetim için kullanılıyor. Yanlış yapılandırmalar nedeniyle bu portun internetten erişilebilir durumda olması, riski artırıyor.

Other critical explanations:

• CV-2025-42922 (CVSS 9.9): NetWeaver AS Java (Deploy Web Service) bileşeninde hatalı dosya işlemleri. Kimliği doğrulanmış düşük yetkili saldırgan, zararlı dosyalar yükleyerek tam sistem ele geçirme riski oluşturabiliyor.

• CV-2025-42958 (CVSS 9.1): Kimlik doğrulama eksikliğinden kaynaklanan açık, yetkisiz yüksek ayrıcalıklı kullanıcıların hassas verileri okumasına, değiştirmesine veya silmesine imkân tanıyor.

SAP would also eliminate the following deficits that were highly evaluated:

• CV-2025-42933 (SAP Business One Sld): Hassas verilerin güvensiz depolanması.

• CV-2025-42929 (SLT Replication Server): Eksik girdi doğrulama nedeniyle replike edilen verilerin manipüle edilmesi.

• CV-2025-42916 (S/4hana): Temel bileşenlerde eksik girdi doğrulama ile yetkisiz veri manipülasyonu riski.

SAP ürünleri, kritik iş süreçlerinde kullanıldıkları ve yüksek değerli veriler barındırdıkları için siber tehdit aktörlerinin sıkça hedefinde bulunuyor. Nitekim bu ayın başında, S/4Hana, Business One and Netweaver ürünlerini etkileyen CV-2025-42957 kod enjeksiyonu açığının aktif şekilde istismar edildiği ortaya çıkmıştı.

To system managers, CV-2025-42944, CV-2025-42922 and CV-2025-42958 are recommended to apply the patches as soon as possible.

Kaynak: Beykozun Sesi