Im SAP Cloud Application Programming Model (CAP) wurde eine kritische Sicherheitslücke (CVE-2026-76969) identifiziert. Die Schwachstelle betrifft die Bibliothek @sap/cds-mtxs, die in mandantenfähigen CAP-Anwendungen mit aktivierter Erweiterbarkeit verwendet wird, und könnte es einem nicht authentifizierten Angreifer ermöglichen, an sensible Anmeldedaten zu gelangen und anschließend Mandantendaten zu manipulieren. Quellen beschreiben das Problem als Folge einer unzureichenden Validierung bestimmter Funktionen innerhalb der betroffenen Anwendungen.
Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, sensible Anmeldedaten offenzulegen und diese zu missbrauchen, um Mandantendaten zu ersetzen oder zu löschen, was erhebliche Auswirkungen auf die Integrität und Verfügbarkeit der Anwendung hätte. Auch eine teilweise Offenlegung von Geschäftsdaten könnte möglich sein.
Im Gegensatz zu vielen anderen Schwachstellen im Zusammenhang mit Anmeldedaten erfordert die Ausnutzung weder eine vorherige Authentifizierung noch eine Benutzerinteraktion. Ein Angreifer kann speziell gestaltete Anfragen direkt über das Netzwerk an eine anfällige Anwendung senden.
Zum Zeitpunkt der Erstellung dieses Artikels gibt es nur wenige öffentliche Berichte über aktive Ausnutzung oder öffentlich verfügbaren Proof-of-Concept-Code (PoC). Der Schwachstelle wurde jedoch ein CVSS-Wert von 9,4 (kritisch) zugewiesen, was die Schwere der potenziellen Auswirkungen widerspiegelt.
Zu den gemeldeten betroffenen Versionen gehören:
Unternehmen sollten die SAP-Sicherheitshinweise konsultieren, um die für ihre Bereitstellung geeignete, gepatchte Version zu ermitteln.
CVE-2026-76969 betrifft Funktionen, die von der Bibliothek @sap/cds-mtxs in mandantenfähigen SAP-CAP-Umgebungen genutzt werden. Öffentlichen Informationen zufolge führt die Bibliothek bei aktivierter Erweiterbarkeit keine ausreichenden Prüfungen bestimmter Funktionen durch.
Ein nicht authentifizierter Angreifer könnte in der Lage sein, speziell gestaltete Anfragen an eine anfällige Anwendung zu senden und sensible Anmeldedaten zu erlangen. Diese Anmeldedaten könnten dann dazu verwendet werden, unbefugte Vorgänge an Mandantendaten durchzuführen.
Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen:
Die Sicherheitslücke ist besonders gravierend in mandantenfähigen Umgebungen, in denen ein Angriff Auswirkungen auf Daten eines oder mehrerer Mandanten haben kann, die innerhalb der betroffenen Anwendung gehostet werden.
Schweregrad und Ausnutzung
Die Sicherheitslücke ist besonders besorgniserregend, weil:
Zum Zeitpunkt der Erstellung dieses Berichts sind öffentliche Berichte über aktive Ausnutzung noch begrenzt, und es wurde kein weithin zitierter öffentlicher PoC identifiziert. Unternehmen sollten diese Schwachstelle dennoch aufgrund ihres kritischen Schweregrads und potenzieller geschäftlicher Auswirkungen als hochprioritär einstufen.
Aktuelle öffentliche Berichte konzentrieren sich in erster Linie auf die Offenlegung der Sicherheitslücke und Anleitungen zur Behebung, weniger auf bestätigte Ausnutzungskampagnen. Derzeit gibt es nur begrenzte Hinweise auf eine weit verbreitete Ausnutzung in der Praxis.
Allerdings führt die Kombination aus:
macht die Sicherheitslücke zu einem attraktiven Ziel für Angreifer, sobald betroffene Systeme identifiziert wurden.
Unternehmen, die SAP-CAP-Anwendungen betreiben, sollten davon ausgehen, dass anfällige Installationen, auf die von nicht vertrauenswürdigen oder externen Netzwerken aus zugegriffen werden kann, nach einer öffentlichen Bekanntgabe ins Visier genommen werden könnten.
Was dies für Unternehmen bedeutet
Unternehmen, die SAP-CAP-Multitenant-Anwendungen mit aktivierter Erweiterbarkeit nutzen, sollten ihr Risiko unverzüglich bewerten.
Im Gegensatz zu vielen Anwendungsschwachstellen, die eine Benutzerinteraktion oder einen authentifizierten Zugriff erfordern, kann CVE-2026-76969 von nicht authentifizierten Angreifern über das Netzwerk ausgenutzt werden. Eine erfolgreiche Ausnutzung könnte es Angreifern ermöglichen, an sensible Anmeldedaten zu gelangen und anschließend Mandantendaten zu ändern oder zu löschen, was sich potenziell auf den Geschäftsbetrieb und das Vertrauen der Kunden auswirken könnte.
Aufgrund der geschäftskritischen Bedeutung vieler SAP-Implementierungen können Störungen oder Manipulationen von Mandantendaten erhebliche betriebliche Folgen haben, die über die betroffene Anwendung selbst hinausreichen.
Empfohlene Maßnahmen zur Risikominderung
1. Hersteller-Updates installieren
2. Überprüfen Sie die Konfigurationen von Multitenant-CAP
3. Überprüfung der Authentifizierung und der Verwendung von Anmeldedaten
4. Überwachen Sie auf unbefugte Aktivitäten von Mandanten
5. Auf Anzeichen für eine Kompromittierung prüfen
Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Festlegung geeigneter Maßnahmen benötigen, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.