Bulletins de Sécurité

SAP a publié un avis de sécurité le 09/09/2025 concernant 2 vulnérabilités critiques impactant la solution NetWeaver.

La première est la CVE-2025-42944 et concerne le composant ServerCore, il s’agit d’une vulnérabilité de type “Insecure Deserialization”, qui permet à un attaquant non authentifié, d’exécuter du code arbitraire sur le système d'exploitation en envoyant sur le port ouvert (RMI-P4) une requête forgée malveillante.

La seconde est la CVE-2025-42922 et concerne le composant J2EE-APPS 7.50/AS Java. C’est une vulnérabilité de type “Insecure file operations” permet à un attaquant authentifié avec les droits utilisateurs, d’exploiter une faille dans la fonctionnalité de déploiement de services Web, afin de téléverser sur le serveur des fichiers malveillants.

Ces vulnérabilités sont donc assez impactantes et pourraient permettre à un attaquant, dans les conditions requises, d’accéder à des informations sensibles qui pourrait ensuite être revendu à des acteurs malveillants, ou encore d’exécuter du code malveillant sur le serveur afin d’obtenir des privilèges plus élevés et se latéraliser sur le réseau interne.

Aucune preuve de concept ni d’exploitation par des groupes d’attaquants n’ont été observés.

Etant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre.