SAP NetWeaver AS ABAP: SAML2-Authentifizierungsumgehung erlaubt nicht authentifizierten Angreifern, sich als beliebige Benutzer auszugeben (CVE-2026-120017)

Was passiert ist

SAP NetWeaver AS ABAP und ABAP Platform führen unter bestimmten Konfigurationen keine ausreichende Prüfung eingehender SAML2-Authentifizierungsassertionen durch. Ein nicht authentifizierter Angreifer kann speziell gestaltete Daten übermitteln, um die Authentifizierung zu umgehen und sich als beliebige Benutzer auszugeben, einschließlich privilegierter Konten.

Der Angriff ist über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion erreichbar. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung vollständig gefährden; eine Scope-Änderung bedeutet, dass sich die Auswirkung auf verbundene Komponenten und Systeme über das betroffene System hinaus erstrecken kann.

Zum Zeitpunkt dieser Schwachstellen-Warnung liegen keine veröffentlichten Hinweise auf eine aktive Ausnutzung oder eine öffentliche Offenlegung vor.

Wer betroffen ist

Betroffen sind SAP NetWeaver AS ABAP und ABAP Platform (SAML2 Service Provider). Betroffene SAP_BASIS-Releases: SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754. Das Problem tritt unter bestimmten Konfigurationen auf; prüfen Sie, ob Ihre Systeme den SAML2-Service-Provider verwenden. Diese Komponenten bilden in der Regel die Grundlage für SAP-Anwendungsserver und können für ERP- und andere SAP-Workloads von zentraler Bedeutung sein.

Was jetzt zu tun ist

1. Betrachten Sie betroffene Systeme, bis SAP eine korrigierte Version veröffentlicht, als Risiko durch nicht authentifizierten Zugriff. Bisher ist kein korrigiertes Release aufgeführt.
2. Prüfen Sie, ob Sie ein betroffenes SAP_BASIS-Release mit aktiviertem SAML2-Service-Provider betreiben, und nehmen Sie diese Systeme in Ihr Inventar auf.
3. Beschränken Sie den Netzwerkzugriff auf betroffene Systeme auf vertrauenswürdige Hosts und Netzwerke. Setzen Sie den SAML2-Service-Provider keinen nicht vertrauenswürdigen Netzwerken aus.
4. Prüfen Sie die Protokolle des SAML2-Service-Providers auf erfolgreiche Authentifizierungen durch privilegierte oder unerwartete Konten, insbesondere aus ungewöhnlichen Quellnetzwerken.
5. Beobachten Sie den SAP Security Patch Day und den SAP-Sicherheitshinweis im Hinblick auf ein Sicherheitsupdate oder eine Herstellerempfehlung.

Wie man es erkennt

Prüfen Sie die Protokolle des SAML2-Service-Providers auf erfolgreiche Authentifizierungsereignisse durch privilegierte oder unerwartete Konten, insbesondere aus unbekannten Quellnetzwerken oder IP-Bereichen. SAP hat zum Zeitpunkt dieser Schwachstellen-Warnung keine spezifischen Indikatoren für eine Kompromittierung für dieses Problem veröffentlicht.

Über den Patch hinaus

CVE-2026-120017 ist eine ohne vorherige Authentifizierung ausnutzbare, über das Netzwerk erreichbare Umgehung der Authentifizierung im zentralen Anwendungsserver von SAP. Solange keine korrigierte Version existiert, ist das Wissen, wo sich betroffene Systeme befinden und ob der SAML2-Endpunkt erreichbar ist, die einzige praktische Sicherheitsmaßnahme. Mit Virtual CISO Services unterstützen wir Sie beim Aufbau eines Exposure-Managements, damit nicht authentifizierte SAP-Endpunkte gefunden werden, bevor sie ausgenutzt werden. Mit SAP HANA Security & Cloud Migration können wir außerdem die Konfiguration des SAML2-Service-Providers in Ihrer gesamten SAP-Landschaft überprüfen.