SAP Commerce Cloud: Schwachstelle im E-Commerce mit maximaler Schweregrad-Ausnutzung in aktiver Kampagne ab Tag 3

Eine unauthentifizierte RCE-Schwachstelle in SAP Commerce Cloud wird bereits drei Tage nach dem Patch von Angreifern ausgenutzt. Große Unternehmen mit B2B- und B2C-E-Commerce-Plattformen sind im Visier.

Was

Eine Schwachstelle mit höchster Schweregrad, die SAP Commerce Cloud (ehemals SAP Hybris, die SAP-E-Commerce-Plattform für Unternehmen) betrifft, wird in einer aktiven Kampagne ausgenutzt – nur drei Tage nach Veröffentlichung des Patches. Die Lücke ermöglicht eine RCE (Remote Code Execution, Ausführung von Code aus der Ferne) ohne vorherige Authentifizierung. Der Alarm kommt von der Threat-Intelligence-Firma Defused.

Wer ist betroffen

SAP Commerce Cloud wird von vielen großen Unternehmen für B2B- und B2C-E-Commerce-Plattformen genutzt – von Händlern, Herstellern und Vertrieben. Wenn Ihre Organisation eine SAP-Commerce-Cloud-Instanz mit Internetzugang betreibt, betrachten Sie diese Warnung als kritisch.

Analyse

Der Zeitraum zwischen der Veröffentlichung eines Patches und der aktiven Ausnutzung verkürzt sich von Jahr zu Jahr. Drei Tage sind mittlerweile ein üblicher Zeitraum für kritische Schwachstellen in weit verbreiteten Softwareprodukten: Angreifer automatisieren das Reverse Engineering von Patches, um technische Details der Lücke zu extrahieren, bevor die meisten Organisationen die Aktualisierung bereitstellen konnten.

SAP Commerce Cloud bietet eine besonders attraktive Angriffsfläche:

• Natives Internet-Exposure: Es handelt sich um eine E-Commerce-Plattform, die für den öffentlichen Zugriff konzipiert ist
• Sensible Daten: Kundendaten, Bestellhistorien, Zahlungsinformationen, Backend-ERP-Verbindungen
• Komplexe Update-Zyklen: In SAP-Umgebungen durchlaufen Updates oft lange interne Validierungsprozesse

Die nicht authentifizierte RCE ist das schwerwiegendste Szenario: Ein Angreifer ohne gültige Anmeldedaten kann beliebigen Code auf dem Server ausführen.

Jetzt handeln

1. Identifizieren Sie alle Ihre SAP-Commerce-Cloud-Instanzen – einschließlich Staging- und UAT-Umgebungen, die bei dringenden Patch-Zyklen oft vernachlässigt werden.
2. Wenden Sie den SAP-Patch umgehend an über Ihr SAP Support Portal (entsprechende Security Note).
3. Prüfen Sie Ihre Zugriffsprotokolle ab dem Zeitpunkt der Veröffentlichung der Schwachstelle auf Versuche einer Ausnutzung vor dem Patch.
4. Isolieren Sie ungepatchte Instanzen hinter einem WAF (Web Application Firewall) im Blockiermodus, bis das Deployment abgeschlossen ist.