遠端主機上偵測到的 SAP NetWeaver Application Server for ABAP 版本受到 2025 年 10 月 SAP 安全性修補日所披露的多個弱點影響

  - 由於 SAP NetWeaver AS ABAP 和 ABAP Platform 中的記憶體損毀弱點未經驗證的攻擊者可將損毀的 SAP Logon Ticket 或 SAP Assertion Ticket 傳送至 SAP 應用程式伺服器。這會導致 NULL 解除參照進而造成工作處理程序損毀。因此它對可用性的影響很小但對機密性和完整性沒有影響。 (CVE-2025-42902)   
  - 在 SAP NetWeaver Application Server ABAP 中以 SAP GUI for HTML 為基礎的應用程式將使用者輸入儲存在本機瀏覽器儲存空間中以改善可用性。具有系統管理權限或可存取作業系統層級之受害者使用者目錄的攻擊者將能夠讀取此資料。視交易中提供的使用者輸入而定所洩漏的資料範圍可能從非重要資料到高度敏感資料都有所涉及進而對應用程式的機密性造成重大影響。 (CVE-2025-0059)

  - 由於 SAP NetWeaver Application Server for ABAP 中的跨網站要求偽造 (CSRF) 弱點經驗證的攻擊者可直接透過工作階段管理員起始交易繞過第一個交易畫面及相關聯的授權檢查。此弱點可允許攻擊者執行通常需要特定權限的動作及交易進而導致未經授權存取受限制的功能進而危及系統的完整性和機密性。
  此弱點不會影響可用性。 (CVE-2025-42908)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在远程主机上检测到的 SAP NetWeaver Application Server for ABAP 版本受到多个漏洞的影响如 2025 年 10 月 SAP 安全修补程序日中所披露

  - 由于 SAP NetWeaver AS ABAP 和 ABAP Platform 中存在内存损毁漏洞未经认证的攻击者可发送损毁的 SAP Logon Ticket 或 SAP Assertion Ticket 到 SAP 应用程序服务器。这会导致 NULL 取消引用进而造成工作进程崩溃。因此，这对可用性影响较小，且对机密性和完整性没有影响。 (CVE-2025-42902)   
  - SAP NetWeaver Application Server ABAP 中基于 SAP GUI for HTML 的应用程序将用户输入存储在本地浏览器存储中以提高可用性。具有管理权限或操作系统级别受害者用户目录访问权限的攻击者将能够读取此数据。根据事务中提供的用户输入，泄露的数据范围可能从非关键数据到高度敏感，从而对应用程序的机密性造成高度影响。 (CVE-2025-0059)

  - 由于用于 ABAP 的 SAP NetWeaver Application Server 中存在跨站请求伪造 (CSRF) 漏洞经认证的攻击者可绕过首个交易屏幕和相关的授权检查直接通过会话管理器发起交易。此漏洞可允许攻击者执行通常需要特定权限的操作和事务从而通过允许对受限制功能进行未经授权的访问来危害系统的完整性和机密性。
  此漏洞对可用性没有影响。 (CVE-2025-42908)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストで検出された abap 用の SAP NetWeaver Application Server のバージョンは、2025 年 10 月の SAP Security Patch Day で開示されているとおり、複数の脆弱性の影響を受けます

  - SAP NetWeaver AS abap および abap プラットフォームのメモリ破損の脆弱性により、認証されていない攻撃者が、破損した SAP ログオンチケットまたは SAP アサーションチケットを SAP アプリケーションサーバーに送信する可能性があります。これは、作業プロセスをクラッシュさせる NULL の逆参照につながります。その結果、可用性に低い影響を与えますが、機密性と整合性に影響はありません。CVE-2025-42902   
  - SAP NetWeaver Application Server abap の HTML 用の SAP GUI ベースのアプリケーションは、ユーザビリティを向上させるためにローカルブラウザストレージにユーザー入力を保存します。管理者権限またはオペレーティングシステムレベルで被害者のユーザーディレクトリへのアクセス権を持つ攻撃者が、このデータを読み取る可能性があります。トランザクションで提供されたユーザー入力によっては、漏えいされるデータは重要でないデータから機密性の高いデータまで、アプリケーションの機密性に高い影響を与える可能性があります。CVE-2025-0059

  - SAP NetWeaver Application Server for abap のクロスサイトリクエスト偽造CSRFの脆弱性により、認証された攻撃者が、セッションマネージャーを介してトランザクションを直接開始し、最初のトランザクション画面および関連する認証チェックをバイパスする可能性があります。この脆弱性により、攻撃者は、通常は特定の権限を必要とするアクションの実行やトランザクションの実行を行うことができ、制限された機能への認証なしでのアクセスを可能にすることでシステムの整合性と機密性を侵害することができます。
  この脆弱性が可用性に影響を与えることはありません。CVE-2025-42908

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of SAP NetWeaver Application Server for ABAP detected on the remote host is affected by multiple vulnerabilities as disclosed in the SAP Security Patch Day October 2025:

  - Due to the memory corruption vulnerability in SAP NetWeaver AS ABAP and ABAP Platform, an unauthenticated   attacker can send a corrupted SAP Logon Ticket or SAP Assertion Ticket to the SAP application server. This   leads to a dereference of NULL which makes the work process crash. As a result, it has a low impact on the   availability but no impact on the confidentiality and integrity. (CVE-2025-42902)   
  - Applications based on SAP GUI for HTML in SAP NetWeaver Application Server ABAP store user input in the   local browser storage to improve usability. An attacker with administrative privileges or access to the   victim's user directory on the Operating System level would be able to read this data. Depending on the user   input provided in transactions, the disclosed data could range from non-critical data to highly sensitive   data, causing high impact on confidentiality of the application. (CVE-2025-0059)

  - Due to a Cross-Site Request Forgery (CSRF) vulnerability in SAP NetWeaver Application Server for ABAP, an   authenticated attacker could initiate transactions directly via the session manager, bypassing the first   transaction screen and the associated authorization check. This vulnerability could allow the attacker to   perform actions and execute transactions that would normally require specific permissions, compromising the   integrity and confidentiality of the system by enabling unauthorized access to restricted functionality.
  There is no impact to availability from this vulnerability. (CVE-2025-42908)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
270697	SAP NetWeaver AS ABAP 多個弱點 (2025 年 10 月)	Nessus	Web Servers	2025/10/17	2025/10/17	medium
270697	SAP NetWeaver AS ABAP 多个漏洞2025 年 10 月	Nessus	Web Servers	2025/10/17	2025/10/17	medium
270697	SAP NetWeaver AS ABAP の複数の脆弱性2025 年 10 月	Nessus	Web Servers	2025/10/17	2025/10/17	medium
270697	SAP NetWeaver AS ABAP Multiple Vulnerabilities (October 2025)	Nessus	Web Servers	2025/10/17	2025/10/17	medium

偵測

搜尋 Plugin

medium

medium

medium

medium