SAP S/4HANA: Code-Injection in Manage Substitution/Validation Rules
Zusammenfassung
Die Funktion Manage Substitution/Validation Rules von SAP S/4HANA validiert Eingaben in der Regeldefinition, die eine domänenspezifische Skriptsprache verwendet, nicht ausreichend. Ein authentifizierter Angreifer mit bestimmten Geschäftsberechtigungen kann manipulierte Eingaben übermitteln, die als ABAP-Code interpretiert werden.
Die erfolgreiche Ausnutzung könnte zur vollständigen Kompromittierung des betroffenen Systems mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen.
Betroffen
- SAP S/4HANA (Manage Substitution/Validation Rules), S4CORE 105, 106, 107, 108 und 109
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
Behoben in
Unbekannt. Die Korrektur wird in der SAP Security Note 3805589 bereitgestellt; die korrigierten Support Packages sind dort zu prüfen.
Umgehung
Unbekannt. Quellen widersprechen sich, ob ein Workaround existiert. Die SAP Security Note 3805589 prüfen. Bis zur Behebung den Zugriff für Benutzer mit Regeldefinitionsrollen einschränken.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable no.
- Zum Zeitpunkt der Analyse ist kein öffentlicher Exploit-Code bestätigt.
Unsere Empfehlung
- Die Korrektur aus der SAP Security Note 3805589 prioritär einspielen, nachdem die betroffenen Support Packages geprüft wurden.
- Prüfen, ob die Apps Manage Substitution/Validation Rules im Einsatz sind.
- Benutzer mit Regeldefinitionsrollen überprüfen und gemäss dem Least-Privilege-Prinzip einschränken.
- Audit-Logs und Änderungen an Substitutions- und Validierungsregeln auf frühere Missbräuche prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SAP Security Note 3805589 me.sap.com
- SAP Security Patch Day url.sap
- SAP Security Notes October 2026 (SAP Knowledge Base) support.sap.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:27.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.