Компания SAP устранила уязвимость с максимальным уровнем критичности (CVSS 10.0) в продукте SAP NetWeaver AS Java. Ошибка, получившая идентификатор CVE-2025-42944, позволяет злоумышленнику без аутентификации выполнять произвольные команды и получить полный контроль над сервером.
Атака осуществляется через модуль RMI-P4 путем отправки вредоносного запроса на открытый порт. Причиной уязвимости является небезопасная десериализация недоверенных объектов Java, что приводит к возможности выполнения произвольных команд операционной системы. Это создает высокий риск для конфиденциальности, целостности и доступности приложения.
Первоначальное исправление для данной проблемы было выпущено SAP в прошлом месяце. Однако последнее обновление обеспечивает дополнительное усиление и вводит дополнительные меры предосторожности для полной нейтрализации угрозы.
Анализ, проведенный компанией Onapsis, показал, что новый патч реализует общесистемный фильтр для виртуальной машины Java (JVM) под названием
Джонатан Стросс из компании Pathlock определяет десериализацию как «основной риск». По его словам, цепочка P4/RMI является главным источником критической уязвимости в AS Java.
Стросс также отмечает, что решение SAP состоит из двух частей: прямого исправления самой уязвимости и усиления конфигурации JVM для снижения «злоупотребления гаджет-классами».
Всего в рамках последнего обновления SAP выпустила исправления для 13 новых проблем безопасности. На данный момент нет свидетельств того, что какие-либо из этих уязвимостей эксплуатируются в реальных атаках.
Среди других критических проблем была исправлена уязвимость обхода каталога в SAP Print Service (CVE-2025-42937) с оценкой CVSS 9.8. Недостаточная проверка путей позволяла неаутентифицированному злоумышленнику получать доступ к родительскому каталогу и перезаписывать системные файлы.
Также была устранена уязвимость неограниченной загрузки файлов в SAP Supplier Relationship Management (CVE-2025-42910) с оценкой CVSS 9.0. Эта ошибка давала возможность злоумышленнику загружать произвольные файлы, включая вредоносные исполняемые программы, что напрямую влияло на конфиденциальность, целостность и доступность приложения.
Всем пользователям продуктов SAP настоятельно рекомендуется как можно скорее применить последние исправления и меры по снижению рисков.
Изображение носит иллюстративный характер
Атака осуществляется через модуль RMI-P4 путем отправки вредоносного запроса на открытый порт. Причиной уязвимости является небезопасная десериализация недоверенных объектов Java, что приводит к возможности выполнения произвольных команд операционной системы. Это создает высокий риск для конфиденциальности, целостности и доступности приложения.
Первоначальное исправление для данной проблемы было выпущено SAP в прошлом месяце. Однако последнее обновление обеспечивает дополнительное усиление и вводит дополнительные меры предосторожности для полной нейтрализации угрозы.
Анализ, проведенный компанией Onapsis, показал, что новый патч реализует общесистемный фильтр для виртуальной машины Java (JVM) под названием
jdk.serialFilter. Этот фильтр предотвращает десериализацию определенного списка выделенных классов. Список блокируемых классов и пакетов был создан в сотрудничестве с организацией ORL и разделен на обязательную и опциональную секции. Джонатан Стросс из компании Pathlock определяет десериализацию как «основной риск». По его словам, цепочка P4/RMI является главным источником критической уязвимости в AS Java.
Стросс также отмечает, что решение SAP состоит из двух частей: прямого исправления самой уязвимости и усиления конфигурации JVM для снижения «злоупотребления гаджет-классами».
Всего в рамках последнего обновления SAP выпустила исправления для 13 новых проблем безопасности. На данный момент нет свидетельств того, что какие-либо из этих уязвимостей эксплуатируются в реальных атаках.
Среди других критических проблем была исправлена уязвимость обхода каталога в SAP Print Service (CVE-2025-42937) с оценкой CVSS 9.8. Недостаточная проверка путей позволяла неаутентифицированному злоумышленнику получать доступ к родительскому каталогу и перезаписывать системные файлы.
Также была устранена уязвимость неограниченной загрузки файлов в SAP Supplier Relationship Management (CVE-2025-42910) с оценкой CVSS 9.0. Эта ошибка давала возможность злоумышленнику загружать произвольные файлы, включая вредоносные исполняемые программы, что напрямую влияло на конфиденциальность, целостность и доступность приложения.
Всем пользователям продуктов SAP настоятельно рекомендуется как можно скорее применить последние исправления и меры по снижению рисков.
