CVE-2025-42874

🎯 CVE-2025-42874 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2025-42874 | SAP NetWeaver remote service for Xcelsius allows an attacker with network access and high privileges to execute arbitrary code on the affected system due to insufficient input validation and improper handling of remote method calls. Exploitation does not require user interaction and could lead to service disruption or unauthorized system control. This has high impact on integrity and availability, with no impact on confidentiality.

SAP NetWeaver remote service for Xcelsius allows an attacker with network access and high privileges to execute arbitrary code on the affected system due to insufficient input validation and improper handling of remote method calls. Exploitation does not require user interaction and could lead to service disruption or unauthorized system control. This has high impact on integrity and availability, with no impact on confidentiality.

Klassifikation & Betroffenheit:

CWE-405 SAP_SE SAP NetWeaver (remote service for Xcelsius) BI-BASE-S 7.50SAP NetWeaver (remote service for Xcelsius) BI-BASE-E 7.50SAP NetWeaver (remote service for Xcelsius) BI-BASE-B 7.50SAP NetWeaver (remote service for Xcelsius) BI-IBC 7.50SAP NetWeaver (remote service for Xcelsius) BIWEBAPP 7.50

Asymmetric Resource Consumption (Amplification)

The product does not properly control situations in which an adversary can cause the product to consume or produce excessive resources without requiring the adversary to invest equivalent work or otherwise prove authorization, i.e., the adversary's influence is "asymmetric."

🛡️ Empfohlene Mitigation: An application must make resources available to a client commensurate with the client's access level.

Vollständige Definition bei MITRE ➔

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-76969 9.4 CVE-2026-89108 9.1 CVE-2026-44758 9.1 CVE-2026-44761 9.1 CVE-2026-27690 9.1

🇩🇪 BSI-Sicherheitshinweise: BSI · kritisch · SAP Patchday Dezember 2025: Mehrere Schwachstellen ↗

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2025

Veröffentlicht 12/2025

Heute 09.11.

CVSS-Vektor-Analyse: 7.9

AV · Angriffsvektor Netzwerk

AC · Komplexität Hoch

PR · Privilegien Hoch

UI · Interaktion Keine

S · Scope Verändert

C · Vertraulichkeit Gering

I · Integrität Hoch

A · Verfügbarkeit Hoch

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:H/A:H

CNA-Bewertung (sap): 7.9 CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:H/A:H

Veröffentlicht:09.12.2025

Aktualisiert:09.12.2025 16:39

Assigner (CNA):sap

EUVD-ID:EUVD-2025-201853

CWE-405 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.140	3,2 %
<10 %	396.071	95,8 %

Tier

CVEs

Anteil

≥90 %

785

0,2 %

≥50 %

3.559

0,9 %

≥10 %

13.140

3,2 %

<10 %

396.071

95,8 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

7.9 HIGH

EPSS

0.5%

CVE-2025-42874 🌐 Netzwerk (Remote) 🔐 Admin-Rechte nötig

SAP_SE

CVE-2025-42874 | SAP NetWeaver remote service for Xcelsius allows an attacker with network access and high privileges to execute arbitrary code on the affected system due to insufficient input validation and improper handling of remote method calls. Exploitation does not require user interaction and could lead to service disruption or unauthorized system control. This has high impact on integrity and availability, with no impact on confidentiality.

CWE-405 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 11 Monaten ↻ vor 10 Monaten

🛡️ Details ➔

Zero-Day & Vulnerability Intelligence Hub