Cảnh báo bộ đôi lỗ hổng 10 điểm nghiêm trọng trong bản vá tháng 11 của SAP

[WhiteHat Team]

SAP vừa công bố bản cập nhật bảo mật tháng 11, bao gồm 18 bản vá mới và hai bản vá bổ sung cho các ghi chú bảo mật đã được phát hành trước đó. Trong số này, có ba lỗ hổng được đánh giá ở mức nghiêm trọng, đặc biệt có hai lỗi đạt điểm CVSS 10, tác động trực tiếp đến các sản phẩm trọng yếu như SQL Anywhere Monitor, SAP NetWeaver AS Java và SAP Solution Manager.

Lỗ hổng đầu tiên, CVE-2025-42890, tác động đến SQL Anywhere Monitor, thành phần giám sát cơ sở dữ liệu dựa trên nền Sybase. SAP cho biết phần mềm này tích hợp sẵn thông tin xác thực trong mã nguồn, khiến kẻ tấn công chưa xác thực có thể khai thác để thực thi mã tùy ý hoặc truy cập trái phép vào môi trường cơ sở dữ liệu nhạy cảm. Với điểm CVSS 10, lỗ hổng này gây ảnh hưởng nghiêm trọng đến tính bảo mật, toàn vẹn và khả dụng của hệ thống.

Tiếp theo, CVE-2025-42944, cũng đạt điểm CVSS 10, xuất hiện trong mô-đun RMI-P4 của SAP NetWeaver AS Java. Nguyên nhân đến từ lỗi deserialization không an toàn, cho phép kẻ tấn công gửi payload độc hại tới cổng mở của hệ thống để thực thi lệnh trên hệ điều hành từ xa. SAP cho biết đây là bản vá mở rộng từ một khuyến cáo trước đó, thể hiện nỗ lực tiếp tục củng cố an ninh cho các hệ thống Java. Với mức độ phổ biến của NetWeaver trong các môi trường doanh nghiệp, lỗ hổng này được đánh giá là đặc biệt nguy hiểm nếu các điểm RMI chưa được vá hoặc bị lộ ra Internet.

Lỗ hổng nghiêm trọng còn lại, CVE-2025-42887, có điểm CVSS 9.9, ảnh hưởng đến SAP Solution Manager phiên bản ST 720. Lỗ hổng xuất phát từ việc thiếu kiểm tra dữ liệu đầu vào trong quá trình gọi các hàm từ xa, cho phép kẻ tấn công đã xác thực chèn và thực thi mã độc trên hệ thống. Nếu bị khai thác thành công, kẻ tấn công có thể giành toàn quyền kiểm soát hệ thống và gây tổn hại lớn đến dữ liệu cũng như hoạt động của doanh nghiệp.

Ngoài ba lỗ hổng nghiêm trọng trên, SAP cũng khắc phục nhiều vấn đề có mức độ cao và trung bình trên các sản phẩm khác trong hệ sinh thái. Cụ thể:

• CVE-2025-42940: Lỗi memory corruption trong SAP CommonCryptoLib, điểm CVSS 7.5
• CVE-2025-42895: Lỗi code injection trong SAP HANA JDBC Client, điểm CVSS 6.9
• CVE-2025-42892 và CVE-2025-42894: Lỗi OS command injection và path traversal trong SAP Business Connector, điểm CVSS 6.8
• CVE-2025-42884: Lỗi JNDI injection trong SAP NetWeaver Enterprise Portal, điểm CVSS 6.5
• CVE-2025-42924 và CVE-2025-42893: Lỗi open redirect trong SAP S/4HANA và SAP Business Connector, điểm CVSS 6.1
• CVE-2025-42885: Thiếu xác thực trong SAP HANA 2.0 (hdbrss), điểm CVSS 5.8
• CVE-2025-42888: Lỗi rò rỉ thông tin trong SAP GUI for Windows, điểm CVSS 5.5
• CVE-2025-42899 và CVE-2025-42882: Thiếu kiểm tra quyền truy cập trong SAP S4CORE và SAP NetWeaver ABAP, điểm CVSS 4.3
• CVE-2025-42883: Thao tác tệp không an toàn trong SAP NetWeaver ABAP Migration Workbench, điểm CVSS 2.7

Bản cập nhật bảo mật tháng 11 của SAP được đánh giá có phạm vi ảnh hưởng rộng, bao trùm nhiều nền tảng trọng yếu trong doanh nghiệp. Việc triển khai các bản vá sớm được xem là bước cần thiết để giảm thiểu nguy cơ bị khai thác và đảm bảo an toàn cho hạ tầng SAP trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi.