SAP Manufacturing Integration and Intelligence: Fehlende Berechtigungsprüfung
Zusammenfassung
SAP Manufacturing Integration and Intelligence (MII, auch XMII) prüft die Berechtigungsgrenzen in bestimmten Administrationsfunktionen nicht ausreichend. Ein Angreifer mit MII-Administratorrechten kann eine speziell präparierte Anfrage senden, um auf dem zugrunde liegenden Java-Application-Server ein Konto mit erhöhten Rechten anzulegen. Eine erfolgreiche Ausnutzung könnte dem Angreifer administrative Kontrolle über dieses System verschaffen, über die MII-Anwendung hinaus.
Betroffen
- SAP MII (XMII) 15.4
- SAP MII (XMII) 15.5 (Standardkonfiguration laut CNA-Eintrag nicht betroffen)
- Komponente: Configuration Service
Behoben in
- Die Korrektur aus SAP Note 3798788 einspielen (veröffentlicht am Patch Day vom 13. Oktober 2026).
- Unverifizierte Angaben Dritter: XMII 15.4 SP001 Patch 059 und XMII 15.5 SP000 Patch 049. Alle Fixstände in SAP Note 3798788 bestätigen.
Umgehung
- SAP nennt für diese Note keinen Workaround.
- Übergangsmassnahme: Anzahl der MII-Administratorkonten auf das Minimum beschränken, bis der Patch eingespielt ist.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
- Zum Zeitpunkt der Recherche ist kein öffentlicher Proof of Concept bestätigt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Die Lücke wurde von Onapsis Research Labs an SAP gemeldet.
Unsere Empfehlung
- MII 15.4 und 15.5 gemäss SAP Note 3798788 zeitnah patchen.
- Die Anzahl der MII-Administratoren jetzt reduzieren und nicht benötigte Adminrechte bei Integratoren und Dienstkonten entfernen.
- Bestehende Administratorkonten der Java-Engine prüfen und kontrollieren, welche MII-Benutzer solche Konten anlegen können.
- Prüfen, ob MII-Server aus dem Produktionsnetz erreichbar sind, und den Zugriff einschränken.
- Prüfen, ob MII überhaupt installiert ist; falls nicht, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SAP Note 3798788 me.sap.com
- SAP Security Patch Day url.sap
- SAP Security Notes October 2026 support.sap.com
- SecurityBridge: SAP Security Patch Day October 2026 securitybridge.com
- Onapsis: SAP Security Patch Day October 2026 onapsis.com
- Pathlock: SAP Patch Day October 2026 pathlock.com
- VulDB entry 417424 vuldb.com
- Strix: CVE-2026-89108 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:51.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.