SAP NetWeaver Visual Composer: Broken Access Control in Portal-Funktionalität
Zusammenfassung
SAP NetWeaver Visual Composer führt in bestimmten Portal-Funktionen keine ausreichende Berechtigungsprüfung durch. Ein Angreifer mit einem Konto mit niedrigen Rechten im Portal könnte interne Operationen auf einem vorkonfigurierten Remote-System aufrufen. Je nach Konfiguration der Remote-Verbindung kann dies zu einer vollständigen Kompromittierung dieses Remote-Systems führen.
Betroffen
- SAP NetWeaver Visual Composer, VC70RUNTIME 7.50 (gemäss CVE-Eintrag; die Standardkonfiguration ist nicht betroffen)
- Nur NetWeaver-Java-Systeme mit bereitgestelltem Visual Composer sind relevant
Behoben in
- Korrektur verfügbar: SAP Security Note 3797111 (veröffentlicht am 13. Oktober 2026)
- Genaues Patch-Level oder Support Package: Unbekannt. Siehe Abschnitt zu Support Packages und Patches im Hinweis.
Umgehung
- Genaue Massnahme unbekannt. Der SAP-Hinweis 3797111 beschreibt temporäre Massnahmen; genannt werden unter anderem ein Neustart der Visual-Composer-Komponente und eine Sicherheitseinstellung („Secure Mode“). Vor dem Einsatz im Hinweis prüfen.
- Prüfen, welche Remote-Ziele Visual Composer erreichen kann und welche Berechtigungen diese besitzen.
Ausnutzung
- Kein öffentlicher Proof of Concept und kein Exploit-Code bekannt.
- Gemäss den geprüften Quellen nicht im Katalog CISA KEV aufgeführt.
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- NetWeaver-Systeme inventarisieren und Java-Systeme mit bereitgestelltem Visual Composer identifizieren.
- SAP Security Note 3797111 prioritär einspielen. Falls dies verzögert wird, die Massnahme aus dem Hinweis anwenden.
- Prüfen, ob das NetWeaver-Portal aus dem Internet erreichbar ist, und den Zugriff einschränken.
- Remote-Ziele von Visual Composer und deren Berechtigungen prüfen und Portal-Konten auf das Notwendige beschränken.
- Auf öffentlichen Exploit-Code und Änderungen im CISA-KEV-Katalog achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SAP Security Note 3797111 me.sap.com
- SAP Security Patch Day url.sap
- OpenCVE CVE-2026-89110 app.opencve.io
- SecurityBridge: SAP Security Patch Day October 2026 securitybridge.com
- Onapsis: SAP Security Patch Day October 2026 onapsis.com
- Pathlock: SAP Patch Day October 2026 pathlock.com
- CyCognito: CVE-2026-89110 analysis www.cycognito.com
- VulDB CVE-2026-89110 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:27.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.