SAP, NetWeaver’de kritik komut çalıştırma açığını kapattı: CVSS 10/10 seviyesinde güvenlik riski giderildi
SAP, Eylül güvenlik bülteninde 21 yeni zafiyeti düzeltti. Bunlar arasında NetWeaver RMIP4 bileşenindeki kimlik doğrulama gerektirmeyen ve işletim sistemi seviyesinde komut çalıştırmaya yol açabilen CVE-2025-42944 yer alıyor. Şirket, yüksek riskli üç kritik açığın acilen yamalanmasını tavsiye etti.
Kurumsal yazılım üreticisi SAP, Eylül 2025 güvenlik güncellemeleri kapsamında ürünlerinde tespit edilen 21 güvenlik açığını giderdi. En dikkat çekici sorun, NetWeaver RMIP4 ServerCore 7.50 sürümünde keşfedilen ve CVSS 10/10 puanıyla maksimum şiddette değerlendirilen CVE-2025-42944 oldu.
Bu zafiyet, insecure deserialization (güvensiz serileştirme) sorunundan kaynaklanıyor. Kimliği doğrulanmamış bir saldırgan, RMI-P4 protokolü üzerinden kötü amaçlı Java nesneleri göndererek hedef sistemde keyfi komut çalıştırabiliyor. RMI-P4, NetWeaver AS Java bileşenlerinde SAP içi iletişim ve yönetim için kullanılıyor. Yanlış yapılandırmalar nedeniyle bu portun internetten erişilebilir durumda olması, riski artırıyor.
Diğer kritik açıklar:
-
CVE-2025-42922 (CVSS 9.9): NetWeaver AS Java (Deploy Web Service) bileşeninde hatalı dosya işlemleri. Kimliği doğrulanmış düşük yetkili saldırgan, zararlı dosyalar yükleyerek tam sistem ele geçirme riski oluşturabiliyor.
-
CVE-2025-42958 (CVSS 9.1): Kimlik doğrulama eksikliğinden kaynaklanan açık, yetkisiz yüksek ayrıcalıklı kullanıcıların hassas verileri okumasına, değiştirmesine veya silmesine imkân tanıyor.
SAP ayrıca yüksek önemde değerlendirilen şu açıkları da giderdi:
-
CVE-2025-42933 (SAP Business One SLD): Hassas verilerin güvensiz depolanması.
-
CVE-2025-42929 (SLT Replication Server): Eksik girdi doğrulama nedeniyle replike edilen verilerin manipüle edilmesi.
-
CVE-2025-42916 (S/4HANA): Temel bileşenlerde eksik girdi doğrulama ile yetkisiz veri manipülasyonu riski.
SAP ürünleri, kritik iş süreçlerinde kullanıldıkları ve yüksek değerli veriler barındırdıkları için siber tehdit aktörlerinin sıkça hedefinde bulunuyor. Nitekim bu ayın başında, S/4HANA, Business One ve NetWeaver ürünlerini etkileyen CVE-2025-42957 kod enjeksiyonu açığının aktif şekilde istismar edildiği ortaya çıkmıştı.
Sistem yöneticilerine, CVE-2025-42944, CVE-2025-42922 ve CVE-2025-42958 için yayımlanan yamaları en kısa sürede uygulamaları tavsiye ediliyor.
Kaynak: Beykozun Sesi
Tepkiniz Nedir?
Beğen
0
Beğenmiyorum
0
Aşk
0
Komik
0
Öfkeli
0
Üzgün
0
Vay
0
