作为定期安全维护的一部分，SAP 发布了 2025 年 9 月补丁日公告，共修复 21 个新发现的漏洞，并对之前发布的 4 份安全公告进行了更新。
在此次新修复的漏洞中，有 4 个高危漏洞可能使 SAP 系统面临重大风险，包括远程代码执行和系统完全被攻陷等情况。
强烈建议各企业尽快安装这些补丁，以保护其企业环境的安全。
已修复的高危漏洞
本月最严重的漏洞编号为 CVE-2025-42944，其 CVSS 评分（通用漏洞评分系统）达到最高等级 10.0。
该漏洞是 SAP NetWeaver（SAP 网 Weaver）远程方法调用（RMI-P4）组件中存在的 “不安全反序列化” 漏洞。
攻击者若成功利用此漏洞，无需身份验证即可远程执行任意代码，可能导致受影响系统的机密性、完整性和可用性完全受损。
该漏洞是 SAP NetWeaver（SAP 网 Weaver）远程方法调用（RMI-P4）组件中存在的 “不安全反序列化” 漏洞。
攻击者若成功利用此漏洞，无需身份验证即可远程执行任意代码，可能导致受影响系统的机密性、完整性和可用性完全受损。
另一个高危漏洞 CVE-2025-42922，影响 SAP NetWeaver 应用服务器（AS）Java 版本，属于 “不安全文件操作” 漏洞，CVSS 评分为 9.9。低权限攻击者可利用该漏洞执行未授权的文件操作，包括读取、修改或删除敏感系统文件，对系统安全造成严重影响。
SAP 还针对此前披露的高危漏洞 CVE-2023-27500 发布了更新补丁。该漏洞是 SAP NetWeaver AS for ABAP（ABAP 应用服务器）及 ABAP 平台中的 “目录遍历” 漏洞，CVSS 评分为 9.6。低权限攻击者可利用此漏洞覆盖关键系统文件，可能导致全系统故障和数据损坏。
第四个高危漏洞 CVE-2025-42958，是 SAP NetWeaver 中存在的 “缺失身份验证检查” 漏洞，CVSS 评分为 9.1。高权限攻击者可利用该漏洞绕过身份验证机制，非法访问关键功能和数据。
高优先级漏洞及其他补丁
除高危漏洞外，SAP 还修复了多个高优先级漏洞，包括：
- CVE-2025-42933：SAP Business One（SLD，系统 landscapes 目录）中的 “敏感信息存储不安全” 漏洞，CVSS 评分为 8.8；
- CVE-2025-42929：SAP 景观转换复制服务器（SAP Landscape Transformation Replication Server）中的 “缺失输入验证” 漏洞，CVSS 评分为 8.1；
- CVE-2025-42916：SAP S/4HANA（私有云或本地部署版本）中存在的同类 “缺失输入验证” 漏洞，CVSS 评分同样为 8.1；
- 针对 CVE-2025-27428 的更新：SAP NetWeaver 及 ABAP 平台中的 “目录遍历” 漏洞，CVSS 评分为 7.7。
其余补丁主要修复中低 severity（严重程度）的漏洞，包括跨站脚本（XSS）、拒绝服务（DoS）、缺失授权检查等，涉及的 SAP 产品涵盖 SAP 商务云（SAP Commerce Cloud）、SAP BusinessObjects（SAP 业务对象）及多个 Fiori 应用程序。
在 SAP 2025 年 9 月补丁日发布的 25 份安全公告中，有 21 份为新增公告。以下表格详细列出了这些漏洞信息：
| SAP 公告编号 | CVE 编号 | 漏洞名称 | 受影响产品 | 优先级 | CVSS 3.0 评分 |
|---|---|---|---|---|---|
| 3634501 | CVE-2025-42944 | SAP NetWeaver（RMI-P4）中的不安全反序列化漏洞 | SAP NetWeaver（RMI-P4） | 高危 | 10.0 |
| 3643865 | CVE-2025-42922 | SAP NetWeaver AS Java（部署 Web 服务）中的不安全文件操作漏洞 | SAP NetWeaver AS Java（部署 Web 服务） | 高危 | 9.9 |
| 3627373 | CVE-2025-42958 | SAP NetWeaver 中的缺失身份验证检查漏洞 | SAP NetWeaver | 高危 | 9.1 |
| 3642961 | CVE-2025-42933 | SAP Business One（SLD）中的敏感信息存储不安全漏洞 | SAP Business One（SLD） | 高 | 8.8 |
| 3633002 | CVE-2025-42929 | SAP 景观转换复制服务器中的缺失输入验证漏洞 | SAP 景观转换复制服务器 | 高 | 8.1 |
| 3635475 | CVE-2025-42916 | SAP S/4HANA（私有云或本地部署）中的缺失输入验证漏洞 | SAP S/4HANA（私有云或本地部署） | 高 | 8.1 |
| 3620264 | CVE-2025-22228 | SAP 商务云及 SAP Datahub 中 Spring Security 的安全配置错误漏洞 | SAP 商务云、SAP Datahub | 中 | 6.6 |
| 3614067 | CVE-2025-42930 | SAP 业务规划与合并（SAP Business Planning and Consolidation）中的拒绝服务（DoS）漏洞 | SAP 业务规划与合并 | 中 | 6.5 |
| 3635587 | CVE-2025-42912、CVE-2025-42913、CVE-2025-42914 | SAP HCM（我的工时表 Fiori 2.0 应用）中的缺失授权检查漏洞 | SAP HCM（我的工时表 Fiori 2.0 应用） | 中 | 6.5 |
| 3643832 | CVE-2025-42917 | SAP HCM（审批工时表 Fiori 2.0 应用）中的缺失授权检查漏洞 | SAP HCM（审批工时表 Fiori 2.0 应用） | 中 | 6.5 |
| 3611420 | CVE-2023-5072 | SAP BusinessObjects 商业智能平台因使用过时 JSON 库导致的拒绝服务（DoS）漏洞 | SAP BusinessObjects 商业智能平台 | 中 | 6.5 |
| 3647098 | CVE-2025-42920 | SAP 供应商关系管理（SAP Supplier Relationship Management）中的跨站脚本（XSS）漏洞 | SAP 供应商关系管理 | 中 | 6.1 |
| 3629325 | CVE-2025-42938 | SAP NetWeaver ABAP 平台中的跨站脚本（XSS）漏洞 | SAP NetWeaver ABAP 平台 | 中 | 6.1 |
| 3409013 | CVE-2025-42915 | Fiori 应用（管理付款冻结，Manage Payment Blocks）中的缺失授权检查漏洞 | Fiori 应用（管理付款冻结） | 中 | 5.4 |
| 3619465 | CVE-2025-42926 | SAP NetWeaver 应用服务器 Java 版本中的缺失身份验证检查漏洞 | SAP NetWeaver 应用服务器 Java | 中 | 5.3 |
| 3627644 | CVE-2025-42911 | SAP NetWeaver（服务数据下载，Service Data Download）中的缺失授权检查漏洞 | SAP NetWeaver（服务数据下载） | 中 | 5.0 |
| 3640477 | CVE-2025-42925 | SAP NetWeaver AS Java（IIOP 服务）中的可预测对象标识符漏洞 | SAP NetWeaver AS Java（IIOP 服务） | 中 | 4.3 |
| 3450692 | CVE-2025-42923 | SAP Fiori 应用（F4044 管理工作中心组，Manage Work Center Groups）中的跨站请求伪造（CSRF）漏洞 | SAP Fiori 应用（F4044 管理工作中心组） | 中 | 4.3 |
| 3623504 | CVE-2025-42918 | SAP NetWeaver ABAP 应用服务器（后台处理，Background Processing）中的缺失授权检查漏洞 | SAP NetWeaver ABAP 应用服务器（后台处理） | 中 | 4.3 |
| 3525295 | CVE-2025-42927 | SAP NetWeaver AS Java（Adobe 文档服务）因使用过时 OpenSSL 版本导致的信息泄露漏洞 | SAP NetWeaver AS Java（Adobe 文档服务） | 低 | 3.4 |
| 3632154 | CVE-2024-13009 | SAP 商务云中潜在的资源释放不当漏洞 | SAP 商务云 | 低 | 3.1 |
建议 SAP 管理员查看完整的安全公告列表，并优先安装补丁，尤其是针对高危漏洞的补丁，以保护系统免受潜在攻击。
版权声明·<<<---红客联盟--->>>·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
联系我们：admin@chnhonker.com
