KritischCVE-2025-31324

    SAP NetWeaver (Visual Composer development server): uneingeschränkter Dateiupload (CVE-2025-31324)

    Veröffentlicht In CISA KEV seit Quellen: pwn.watch, CVE.org, SAP Note, SingCERT

    Was ist betroffen, was ist zu tun

    Diese Schwachstelle ermöglicht eine Remote-Code-Ausführung (RCE) durch das Hochladen von potenziell bösartigen ausführbaren Binärdateien über den SAP NetWeaver Visual Composer Metadata Uploader, ohne dass eine Authentifizierung erforderlich ist. Ein Angreifer kann somit die volle Kontrolle über das betroffene System erlangen, was die Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigt. Die Schwachstelle wird aktiv in Ransomware-Kampagnen seit April 2025 ausgenutzt. Betroffen sind alle Versionen von SAP NetWeaver. Es ist dringend erforderlich, das System auf die neueste Version zu aktualisieren, sobald ein Patch verfügbar ist, um die Sicherheitslücke zu schließen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • SAP NetWeaver (Visual Composer development server) eq VCFRAMEWORK 7.50..VCFRAMEWORK 7.50

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    10,0

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    10,0

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: pwn.watch, CVE.org, SAP Note, SingCERT

    99,49 %

    EPSS-Score

    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.

    Quelle: FIRST EPSS, Perzentil 99,94

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    263.70 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab), ANSSI / CERT-FR, CSA/SingCERT So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    10,0 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    10,0
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    99,49 %
    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,94
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-434

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Die Schwachstelle ist ohne Authentifizierung und Benutzerinteraktion über das Netz ausnutzbar und führt zu vollständiger Kompromittierung des Anwendungsservers mit Auswirkung über dessen Grenzen hinaus. EPSS stuft sie unter den am wahrscheinlichsten ausgenutzten CVEs überhaupt ein. Angreifer haben breit nach erreichbaren Metadata-Uploadern gescannt, JSP-Webshells abgelegt und diese teils erst Wochen später für Nachladen von Malware, Datendiebstahl und Ransomware genutzt. CISA bestätigt eine Nutzung in Ransomware-Kampagnen. Für jede Organisation mit SAP NetWeaver AS Java, besonders bei Internet- oder Partnernetz-Exposition, gilt höchste Priorität: patchen oder den Pfad sperren noch am selben Tag. Zusätzlich ist unabhängig vom Patch-Stand eine Kompromittierungsprüfung rückwirkend ab Mitte März 2025 durchzuführen.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Exposition prüfen: Ermitteln Sie alle SAP NetWeaver AS Java-Instanzen mit installierter Visual-Composer-Komponente (VCFRAMEWORK). Testen Sie, ob /developmentserver/metadatauploader erreichbar ist, etwa mit curl -I https://<host>:5<NN>01/developmentserver/metadatauploader. Eine Antwort ohne Authentifizierungsaufforderung (kein 401/403) gilt als akut gefährdet.

      • Patch einspielen: Installieren Sie die SAP Security Note 3594142 (Fix für CVE-2025-31324). Prüfen Sie im SAP Support Portal, ob für Ihr Support-Package-Level ergänzende Folge-Notes existieren, und spielen Sie diese mit ein. Die Patch-Version muss im Vendor-Advisory gegen das eigene SP-Level abgeglichen werden.

      • Workaround bei Patch-Verzug: Ist ein sofortiges Patchen nicht möglich, blockieren Sie den Pfad /developmentserver/metadatauploader am Reverse Proxy, Web Dispatcher oder per ICM-Regel. Alternativ deaktivieren oder deinstallieren Sie die Visual-Composer-Anwendung (siehe SAP-KBA 3593336). Visual Composer wird in den meisten Produktivlandschaften nicht benötigt.

      • Kompromittierungsprüfung vor dem Wiederanlauf: Durchsuchen Sie die folgenden Verzeichnisse nach unbekannten .jsp-, .java- und .class-Dateien:

        • …/j2ee/cluster/apps/sap.com/irj/servlet_jsp/irj/root/
        • …/irj/work/
        • …/irj/work/sync/

        Ein Patch entfernt bereits abgelegte Webshells nicht.

      • Bei Fund sofort reagieren: Isolieren Sie den Host netzseitig und sichern Sie forensische Artefakte (Dateisystem, ICM- und HTTP-Logs, std_server*.out). Rotieren Sie anschließend alle Anmeldedaten, auf die <sid>adm und das J2EE-Dienstkonto Zugriff hatten (Datenbank, RFC-Destinationen, Secure Storage). Da CISA eine Nutzung in Ransomware-Kampagnen meldet, ist das Vorfallsmanagement einschließlich der NIS2-Meldewege (BSI) zu aktivieren.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung: SAP-HTTP(S)-Ports (500/501, typischerweise 50000/50001) dürfen nicht aus dem Internet erreichbar sein. Beschränken Sie den Zugriff aus dem internen Netz auf definierte Admin- und Benutzer-Subnetze. Egress-Verkehr von SAP-Anwendungsservern unterbinden Sie per Default-Deny und lassen nur bekannte Ziele zu (SAP-Router, DB, Updates).
      • WAF/IPS: Blockieren Sie jede Anfrage auf /developmentserver/metadatauploader*, insbesondere POST mit multipart/form-data oder Binär-Payload. Ergänzen Sie eine Regel gegen Zugriffe auf neu angelegte .jsp-Dateien unterhalb /irj/ mit untypischen Namen wie helper.jsp, cache.jsp oder Zufallsstrings. Aktivieren Sie die Suricata/ET-Signaturen für CVE-2025-31324.
      • Endpoint-Härtung: Setzen Sie Dateiintegritätsüberwachung (FIM) auf die oben genannten irj-Verzeichnisse ein. Konfigurieren Sie die EDR-Policy so, dass vom J2EE-Prozess (java/jstart) gestartete Kindprozesse für Shells (cmd.exe, powershell.exe, sh, bash) blockiert oder zumindest alarmiert werden.
      • Berechtigungen/Least Privilege: Prüfen Sie, ob <sid>adm und das Dienstkonto über unnötige OS-Rechte, Domänenrechte oder Netzfreigaben verfügen. Trennen Sie SAP-Dienstkonten konsequent von der AD-Administration, um laterale Bewegung nach einer Kompromittierung zu begrenzen.
      • Konfiguration: Entfernen Sie nicht benötigte AS-Java-Anwendungen dauerhaft (Visual Composer, Entwicklungs-Services). Prüfen Sie die Exposition auch für Nicht-Produktivsysteme (DEV/QA), da diese oft weniger überwacht, aber netzseitig gleich erreichbar sind.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • HTTP-/ICM-Access-Log: Jede POST-Anfrage auf /developmentserver/metadatauploader mit Status 200 ist hochverdächtig. Beispiel (SPL): index=sap_web uri_path="/developmentserver/metadatauploader*" http_method=POST | stats count values(status) by src_ip Ergänzend sollten Sie auf anschließende GET-Anfragen auf /irj/*.jsp von derselben Quell-IP achten.
      • Dateierstellung: Werten Sie Sysmon EID 11 oder FIM-Ereignisse aus, bei denen neue .jsp-, .class- oder .java-Dateien unter servlet_jsp\irj\root oder irj\work entstehen. Als Sigma-Form: TargetFilename|contains: '\irj\root\' AND TargetFilename|endswith: '.jsp'
      • Prozessabstammung (EDR/Sysmon EID 1): Achten Sie auf java.exe mit Pfad unter \usr\sap\ als Elternprozess von Shells oder Werkzeugen. Beispiel (KQL): DeviceProcessEvents | where InitiatingProcessFolderPath has @"\usr\sap\" and FileName in~ ("cmd.exe","powershell.exe","certutil.exe","whoami.exe")
      • Linux auditd: Überwachen Sie execve-Ereignisse mit uid=<sid>adm, deren Elternprozess java ist und deren exe auf /bin/sh, /bin/bash, curl, wget oder base64 zeigt.
      • Netzwerk (Zeek/Suricata): Melden Sie neue ausgehende Verbindungen von SAP-Anwendungsservern zu externen IPs, insbesondere zu Cloud-VPS-Bereichen, auf 443 oder ungewöhnlichen Ports. Typische Indikatoren sind regelmäßige Beaconing-Intervalle, DNS-Anfragen auf neu registrierte Domains sowie Downloads von ELF- oder PE-Dateien nach einem Upload-Ereignis.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    Der SAP NetWeaver Visual Composer Metadaten-Uploader ist nicht mit einer ordnungsgemäßen Autorisierung geschützt, was es einem unauthentifizierten Agenten ermöglicht, potenziell schädliche ausführbare Binärdateien hochzuladen, die das Hostsystem erheblich schädigen könnten. Dies könnte die Vertraulichkeit, Integrität und Verfügbarkeit des Ziel-Systems erheblich beeinträchtigen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: pwn.watch, CISA KEV Catalog, sap_note, cvelistv5, NVD (NIST), CVE.org (MITRE), CSA/SingCERT

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    SAP_SESAP NetWeaver (Visual Composer development server)
    • VCFRAMEWORK 7.50
    • —
    sapnetweaver
    • 7.50
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-434Unrestricted Upload of File with Dangerous Type

      Base

      The product allows the upload or transfer of dangerous file types that are automatically processed within its environment.

      Eintrag bei MITRE CWE-434

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    CSA/SingCERTActive Exploitation of SAP's NetWeaver Visual Composer Metadata Uploader (öffnet in neuem Tab)CSA/SingCERTaktiv ausgenutzt
    ANSSI / CERT-FRLicence Ouverte 2.0, Stand CERTFR-2025-ALE-005 – Vulnérabilité dans SAP NetWeaver (clôturée 2025-06-24) (öffnet in neuem Tab)cert.cyber.gouv.fraktiv ausgenutzt
    GitHubOnapsis/Onapsis-Mandiant-CVE-2025-31324-Vuln-Compromise-Assessment (öffnet in neuem Tab)github.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    PoC-in-GitHub (nomi-sec)CVE-2025-31324 (öffnet in neuem Tab)github.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert

    Quellen & Referenzen

    • me.sap.comnotes/3594142
    • url.sapsapsecuritypatchday
    • onapsis.comblog/active-exploitation-of-sap-vulnerability-cve-2025-31324Technische Beschreibung
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31324government-resource
    • theregister.com2025/04/25/sap_netweaver_patch
    • bleepingcomputer.comSAP fixes suspected NetWeaver zero-day exploited in attackspwn-watch
    • cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2025-ALE-005 – Vulnérabilité dans SAP NetWeaver (clôturée 2025-06-24)cert-fr
    • pwn.watchpwn.watch: SAP NetWeaver Visual Composer zero-day: unauthenticated webshell uploads (CVE-2025-31324)pwn-watch
    • reliaquest.comReliaQuest Uncovers New Critical Vulnerability in SAP NetWeaverpwn-watch
    • github.comOnapsis/Mandiant CVE-2025-31324 compromise assessment toolpwn-watch
    • NVD (NIST)NVD: CVE-2025-31324pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2025-31324
    <a href="https://intel.neosec.eu/cve/CVE-2025-31324"><img src="https://intel.neosec.eu/badge/cve/CVE-2025-31324.svg" alt="CVE-2025-31324 – NEOSEC Intel" height="20"></a>