Vier kritische CVSS-10.0-Schwachstellen in SAP NetWeaver und Web Dispatcher – Analyse und Empfehlungen

Im Rahmen des Security Patch Day im November hat SAP Fixes für vier Schwachstellen veröffentlicht, die jeweils die maximale Bewertung von CVSS 10.0 erhalten haben. Alle vier Schwachstellen können ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden. Betroffen sind zentrale Komponenten der SAP-Infrastruktur: der Anwendungsserver SAP NetWeaver AS ABAP (Internet Communication Manager, SAML2-Provider, SAP Gateway) und der SAP Web Dispatcher. Zwei Schwachstellen stehen mit Speicherkorruption in Verbindung und ermöglichen potenziell die Ausführung beliebigen Codes, eine weitere erlaubt die Umgehung der SAML-Authentifizierung und die Anmeldung als beliebiger Benutzer, und eine weitere führt zu Privilegien eines internen Servers über SAP Gateway. Die Patches sind über den SAP-Sicherheitsbulletin für November verfügbar, und der Hersteller empfiehlt ihre vorrangige Implementierung.

Technische Details der Schwachstellen

Speicherkorruption in ICM und Web Dispatcher (CVE-2026-76964, CVE-2026-89126)

Die Schwachstellen CVE-2026-76964 und CVE-2026-89126 haben eine gemeinsame Ursache: Fehlformatierte WebSocket-Steuerframes mit ungültiger Längenangabe führen zu Schreibzugriffen außerhalb des zugewiesenen Heap-Bereichs (heap out-of-bounds write). Der Angriff erfolgt vor jeglicher Authentifizierung – es genügt der Netzwerkzugang zur verwundbaren Komponente. Laut Analyse ermöglicht eine erfolgreiche Ausnutzung potenziell die Ausführung beliebigen Codes und damit die vollständige Kompromittierung des Systems.

Betroffene Kernel-Versionen für CVE-2026-76964 (ICM): KRNL64UC 7.53; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20. SAP NetWeaver AS Java ist nicht betroffen.

Für CVE-2026-89126 (Web Dispatcher) ist der Umfang größer: Neben vergleichbaren Kernel-Versionen sind eigenständige und eingebettete Web-Dispatcher-Instanzen betroffen, einschließlich Deployments von SAP HANA XS Classic und XS Advanced. SAP Content Server ist nicht betroffen. Vollständige Liste: HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20.

Die Korrekturen werden über SAP Note 3778530 (ICM) und SAP Note 3778556 (Web Dispatcher) ausgeliefert.

Umgehung der SAML2-Authentifizierung (CVE-2026-120017)

Die Schwachstelle CVE-2026-120017 betrifft den SAML2-Provider in SAP NetWeaver AS ABAP und ABAP Platform. Nach Angaben der Forscher prüfte der Provider in bestimmten Konfigurationen die Signaturen eingehender SAML-Assertions nicht. Dadurch kann ein Angreifer Authentifizierungsdaten fälschen und sich in das System als beliebiger Benutzer anmelden, einschließlich privilegierter Konten. Die vollständige Kompromittierung kann sich auf verbundene SAP-Systeme ausweiten.

Betroffene SAP_BASIS-Versionen: 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922. Es gibt keinen Workaround – der einzige Weg zur Behebung ist in SAP Note 3849308 beschrieben.

Es ist erwähnenswert, dass SAP bereits im Juni 2026 eine SAML-Schwachstelle in derselben Komponente behoben hat – CVE-2026-44748 (XML Signature Wrapping), die allerdings ein reguläres Benutzerkonto erforderte. Wir haben bereits über diese Schwachstelle berichtet. Die neue Schwachstelle CVE-2026-120017 ist gefährlicher: Sie erfordert keinerlei Zugangsdaten.

Verletzung der Zugriffskontrolle in SAP Gateway (CVE-2026-89103)

Die Schwachstelle CVE-2026-89103 hängt mit dem Verhalten der Access Control Lists (ACL) in SAP Gateway zusammen. Wenn die Dateien secinfo und reginfo keine expliziten Regeln enthalten oder sich auf das Schlüsselwort internal host stützen, wendet das Gateway Standardregeln mit hohen Privilegien an. Ein externer Angreifer kann vom System als einer der internen Anwendungsserver eingestuft werden, was nach Angaben der Forscher die üblichen Angriffswege über das Gateway bis hin zur Ausführung von Befehlen öffnet.

Betroffene Kernel-Versionen: KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21. Die Korrektur findet sich in SAP Note 3798345.

Zwei Behebungsstränge – nicht nur einer

Die Analyse der betroffenen Komponenten zeigt, dass sich die vier Schwachstellen in zwei unabhängige Behebungsstränge aufteilen. Die Schwachstellen in ICM (CVE-2026-76964) und Web Dispatcher (CVE-2026-89126) werden durch ein koordiniertes Update des Kernels und aller Web-Dispatcher-Instanzen behoben. Laut Analyse von RedRays sollte dieses Update alle 17 November-Fixes für Kernel und Web Dispatcher abdecken. Die SAML2- (CVE-2026-120017) und Gateway-Schwachstellen (CVE-2026-89103) erfordern jedoch separate Korrekturen auf Ebene von AS ABAP und der Gateway-Konfiguration. Ein reines Update der Perimeterkomponente Web Dispatcher schließt nicht alle vier Probleme.

Ein zusätzlicher Aspekt für CVE-2026-76964: Der Patch für den Web Dispatcher kann ICM vorübergehend vor einer Ausnutzung über WebSocket schützen, jedoch nur unter der Voraussetzung, dass die ICM-Ports nicht direkt aus Benutzernetzen oder dem Internet erreichbar sind. Besteht direkter Zugriff auf die ICM-Ports, muss auch ICM separat gepatcht werden.

Praktische Empfehlungen

• SAML2 (CVE-2026-120017): Alle AS-ABAP-Systeme, die SAML2 für den Browser-Login verwenden (Fiori Launchpad, Web GUI hinter einem Identity Provider), sollten bis zum Nachweis des Gegenteils als betroffen betrachtet werden. Es existiert kein Workaround – SAP Note 3849308 muss umgesetzt werden. Nach dem Patchen empfiehlt sich eine Überprüfung aller vertrauenswürdigen Identity Provider in der Transaktion SAML2 sowie eine Analyse der Audit-Logs auf SAML-Logins privilegierter Benutzer aus unerwarteten Quellen.
• Gateway (CVE-2026-89103): Setzen Sie nach Umsetzung von SAP Note 3798345 den Profilparameter gw/acl_mode_proxy (für Kernel bis 7.77; in Kerneln ab 7.93 ist er bereits vorhanden). Stellen Sie sicher, dass gw/acl_mode auf 1 gesetzt ist, dass secinfo und reginfo explizite Regeln enthalten und dass der Gateway-Port (33xx) aus Benutzernetzen und dem Internet nicht erreichbar ist.
• ICM (CVE-2026-76964): Aktualisieren Sie den Kernel über dw.sar oder ein SP Stack Kernel. Das Deaktivieren der WebSocket-Unterstützung blockiert die Schwachstelle, beeinträchtigt jedoch Funktionen, die von WebSocket abhängen.
• Web Dispatcher (CVE-2026-89126): Führen Sie eine Inventarisierung aller Web-Dispatcher-Instanzen durch – eigenständig, eingebettet, im Rahmen von HANA XS. Eine einzige übersehene Instanz lässt die Schwachstelle offen. Für eigenständige Instanzen – SAPWEBDISP.SAR, für eingebettete – dw.sar oder SP Stack Kernel, für HANA XS Classic – SPS08 Revision 089.05 oder SPS07 Revision 079.11, für XS Advanced – Version 1.5.4 und höher.

Zum Zeitpunkt der Veröffentlichung liegen keine Informationen über eine tatsächliche Ausnutzung dieser Schwachstellen vor; die maximale Bewertung von CVSS 10.0, der fehlende Authentifizierungszwang und die breite Abdeckung der betroffenen Versionen machen diese Schwachstellen jedoch zu einer Priorität für eine umgehende Behebung. Organisationen, die SAP NetWeaver einsetzen, sollten ein koordiniertes Update von Kernel und Web Dispatcher in Kombination mit separaten Fixes für SAML2 und Gateway planen – und dieses im nächsten Wartungsfenster durchführen.