SAP BusinessObjects Web Intelligence: XXE ermöglicht authentifizierten Angreifern das Lesen von Serverdateien (CVE-2026-109798)

Was passiert ist

Die Web-Intelligence-Komponente der SAP BusinessObjects Business Intelligence Platform schränkt die Auflösung externer Entitäten bei der Verarbeitung von OLAP-Verbindungsanfragen nicht ausreichend ein. Dabei handelt es sich um eine XML-External-Entity-Schwachstelle (XXE), klassifiziert als CWE-611. Ein Angreifer mit niedrigen Berechtigungen kann sie über das Netzwerk ausnutzen; es ist keine Benutzerinteraktion erforderlich. Über eine manipulierte OLAP-Verbindungsanfrage kann der Angreifer die Plattform dazu bringen, externe Entitäten aufzulösen, vertrauliche Dateien auf dem Server zu lesen und interne Systeme zu erreichen, die sonst nicht zugänglich sind. Der CVE-Eintrag bewertet die Auswirkungen auf die Vertraulichkeit als hoch und die Auswirkungen auf Integrität und Verfügbarkeit als niedrig; die Wirkung reicht über die betroffene Komponente hinaus. Der CVE-Eintrag zeigt keine aktive Ausnutzung und keine öffentliche Bekanntgabe.

Wer betroffen ist

SAP führt SAP BusinessObjects Business Intelligence Platform (Web Intelligence) ENTERPRISE 430, 2025 und 2027 als betroffen. Wenn Ihr Unternehmen die BusinessObjects-BI-Plattform in einer dieser Editionen einsetzt, prüfen Sie, ob Web Intelligence für authentifizierte Benutzer über das Netzwerk erreichbar ist.

Was jetzt zu tun ist

Im CVE-Eintrag zu CVE-2026-109798 sind keine korrigierte Version und keine Problemumgehung genannt. Bis SAP einen Fix veröffentlicht, sollten Sie die Bedingungen einschränken, die eine Ausnutzung ermöglichen.

1. Prüfen Sie den SAP-Sicherheitshinweis zu CVE-2026-109798 und verfolgen Sie den SAP Security Patch Day im Hinblick auf einen Fix.
2. Behandeln Sie Web Intelligence als interne Anwendung; stellen Sie sie nicht direkt in das Internet, es sei denn, strenge Zugriffskontrollen und zusätzliche Prüfungen sind vorhanden.
3. Schränken Sie die Netzwerkerreichbarkeit von der BI-Plattform zu internen Systemen ein, damit eine erfolgreiche Auflösung externer Entitäten weniger interne Systeme erreichen kann.
4. Überprüfen und reduzieren Sie Web-Intelligence-Konten, insbesondere Konten mit niedrigen Berechtigungen, die keine OLAP-Verbindungsberechtigungen benötigen.
5. Wenn eine korrigierte Version veröffentlicht wird, priorisieren Sie Instanzen, die Netzwerkverbindungen annehmen.

Wie man es erkennt

Der CVE-Eintrag enthält keine Kompromittierungsindikatoren. Prüfen Sie als allgemeine Kontrolle die Authentifizierungs- und Anfrageprotokolle von Web Intelligence auf OLAP-Verbindungsanfragen von Konten, die solche Anfragen normalerweise nicht erstellen, und überwachen Sie ausgehende Verbindungen von der BI-Plattform zu internen Systemen.

Über den Patch hinaus

Für SAP-Landschaften geht es hier weniger um einen einzelnen Patch, sondern vor allem darum, wo BusinessObjects und Web Intelligence exponiert sind und wie schnell der Releasezyklus von SAP kritische Lücken schließt. Mit SAP-HANA-Sicherheit unterstützen wir Sie dabei, Ihre SAP- und BusinessObjects-Landschaft zu erfassen und die Angriffsfläche der Berichtskomponenten zu reduzieren. Da das Zeitfenster der Gefährdung durch den Patchzyklus von SAP bestimmt wird, hilft die Arbeit im Bereich Lieferkettenschutz und Drittanbieterrisiko, diese anbieterbezogenen Risiken zu verfolgen.