SAP Gateway: Fehlerhafte Zugriffskontrolle lässt nicht authentifizierte Angreifer als internen Applikationsserver agieren (CVE-2026-89103)

Was passiert ist

SAP Gateway aktiviert standardmäßig eine Zugriffssteuerungsliste (Access Control List, ACL) mit hohen Berechtigungen. Dies kann dazu führen, dass ein externer Angreifer mit Netzwerkzugriff als interner Applikationsserver eingestuft wird. Der CVE-Eintrag stuft die Schwachstelle als fehlerhafte Zugriffskontrolle (CWE-863) ein.

In der Folge könnte ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf SAP Gateway im Anwendungsumfeld nicht autorisierte Aktionen ausführen. Der CVSS-3.1-Vektor lautet: Netzwerk, geringe Angriffskomplexität, keine Berechtigungen erforderlich, keine Benutzerinteraktion, geänderter Scope, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS-Score 10, kritisch). Der CVE-Eintrag enthält keine Angaben dazu, dass die Schwachstelle bereits ausgenutzt oder öffentlich bekannt gemacht wurde.

Wer betroffen ist

SAP stuft SAP Gateway als betroffen ein. Betroffen sind die Versionen KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, 8.04, KERNEL 7.22, 7.54 und 7.77. Da der Angriff nur Netzwerkzugriff ohne Anmeldedaten erfordert, sollte jede SAP-Gateway-Instanz, die aus dem Internet oder aus einem nicht vertrauenswürdigen Netzwerksegment erreichbar ist, als exponiert gelten. Im CVE-Eintrag sind keine korrigierte Version und keine Problemumgehung aufgeführt.

Was jetzt zu tun ist

1. Schränken Sie vor allen anderen Maßnahmen den Netzwerkzugriff auf SAP Gateway ein: Entfernen Sie die Erreichbarkeit aus dem Internet, platzieren Sie den Dienst hinter einem VPN oder Jump-Host und trennen Sie ihn netzwerkseitig von nicht vertrauenswürdigen Zonen.
2. Inventarisieren Sie SAP-Gateway-Instanzen anhand der oben genannten betroffenen Versionen, damit das Team weiß, welche Systeme betroffen sind.
3. Verfolgen Sie den SAP-Sicherheitshinweis und die SAP Security Patch Day-Seite auf eine korrigierte Version oder eine Problemumgehung. Da SAP für diese CVE noch keine korrigierte Version und keine Problemumgehung veröffentlicht hat, behalten Sie die Netzwerkbeschränkungen bei, solange keine Korrektur aufgeführt ist.

Wie man es erkennt

Der Hersteller hat keine Indikatoren für eine Kompromittierung veröffentlicht. Beginnen Sie mit der Ermittlung der Netzwerkexposition: Identifizieren Sie alle SAP-Gateway-Instanzen, die aus dem Internet oder aus nicht vertrauenswürdigen Netzwerksegmenten erreichbar sind, und prüfen Sie Firewall-Regeln sowie Zugriffsprotokolle auf Verbindungsversuche aus unerwarteten Quellen.

Über den Patch hinaus

Da es sich um eine über das Netzwerk erreichbare Schwachstelle in einer SAP-Landschaft handelt, die ohne Authentifizierung ausgenutzt werden kann, ist das Management der Netzwerkexposition wichtiger als üblich, solange keine Korrektur aufgeführt ist. Mit Virtual CISO Services lassen sich exponierte Dienste wie ein aus dem Internet erreichbares SAP Gateway finden und absichern. SAP-HANA-Sicherheit & Cloud-Migration bringt unsere SAP-Sicherheitskompetenz in die Überprüfung der gesamten Landschaft ein. Lieferkettenschutz & Drittparteienrisiko verfolgt den Patch-Zyklus des Herstellers, damit das Unternehmen sein Expositionsfenster kennt.