Kritischer SAP-Fehler öffnet die Tür: Sicherheitslücke CVE-2025-31324 und ihre globalen Auswirkungen

Ein kritischer Fehler mit globaler Reichweite

Eine Sicherheitslücke in SAP NetWeaver , identifiziert als CVE-2025-31324, hat sich schnell zu einem großen Problem für IT- und Sicherheitsteams weltweit entwickelt. Mit einem maximalen CVSS-Score von 10,0 ermöglicht diese Schwachstelle Angreifern die Ausführung von Code auf Zielsystemen ohne Authentifizierung und stellt damit eines der schwerwiegendsten Sicherheitsrisiken dar. Das Problem liegt in einem exponierten Endpunkt: /developmentserver/metadatauploader , den Angreifer manipulieren können, um schädliche Web-Shells hochzuladen.

Dieser Fehler ist nicht nur theoretisch. Es gibt bereits Exploits, weshalb die rechtzeitige Patch- und Schadensbegrenzung für Unternehmen, die auf die leistungsstarken Enterprise-Tools von SAP setzen, von entscheidender Bedeutung ist.

Weit verbreitete und frühe Ausbeutung

Obwohl die Schwachstelle erst kürzlich öffentlich bekannt wurde, zeigen forensische Analysen, dass sie möglicherweise bereits seit Monaten einem unbemerkten Angriff ausgesetzt war. Die ersten Hinweise auf Ausnutzungsversuche stammen aus dem Januar 2025 , die tatsächliche Ausnutzung begann vermutlich Mitte März. Sicherheitsfirmen, die SAP-Systeme überwachen, stellten zwischen dem 14. und 31. März erfolgreiche Web-Shell-Installationen fest, was auf eine aktive Kompromittierung hindeutet, noch bevor die Schwachstelle allgemein bekannt war.

Betroffen sind zahlreiche Branchen, darunter Energie, Fertigung, Einzelhandel, Behörden und Medienunternehmen. Diese branchenübergreifende Auswirkung unterstreicht die Reichweite und Bedeutung von SAP NetWeaver im globalen Unternehmensbetrieb – und zeigt, warum eine solche Sicherheitslücke weitreichende Folgen hat.

Chaya_004: Ein bemerkenswerter Spieler betritt die Bühne

Zu den Angreifern, die diese Schwachstelle ausnutzen, gehört die Gruppe Chaya_004 , die vermutlich in China ansässig ist. Obwohl nicht viel über diese Gruppe bekannt ist, bringen Forscher sie mit einer Reihe von Aktivitäten im Zusammenhang mit dieser SAP-Schwachstelle in Verbindung. Zu ihren Taktiken gehört der Einsatz einer Golang-basierten Reverse Shell namens SuperShell sowie eines Toolkits mit Cyber-Offensivprogrammen wie Cobalt Strike , SoftEther VPN und ARL (Asset Reconnaissance Lighthouse).

Ein bemerkenswerter Befund ist die Verwendung einer IP-Adresse (47.97.42[.]177) durch die Gruppe, die die SuperShell-Backdoor hostet. Diese präsentiert zudem ein ungewöhnliches selbstsigniertes Zertifikat, das angeblich von Cloudflare stammt. Dies ist wahrscheinlich ein Versuch, durch die Nachahmung legitimer Dienste einer Entdeckung zu entgehen.

Ein Wettlauf unter Cyberkriminellen

Sobald eine Schwachstelle bekannt wird, insbesondere eine mit so schwerwiegenden Folgen, beginnt ein Wettlauf. Und CVE-2025-31324 bildet da keine Ausnahme. Nach der Veröffentlichung schlossen sich mehrere cyberkriminelle Gruppen dem Kampf an und griffen ungepatchte Systeme an, um Webshells und in einigen Fällen Kryptowährungs-Mining-Software zu installieren. Diese opportunistischen Angriffe verkomplizieren die Lage zusätzlich, da sie es Verteidigern erschweren, zwischen gelegentlicher Ausnutzung und gezielten, strategischen Angriffen zu unterscheiden.

Dieses breitere Interesse an dem Exploit bedeutet, dass selbst Organisationen mit bescheidenem Bedrohungsprofil zum Ziel werden könnten, insbesondere wenn sie die Implementierung von Patches verzögern oder ihre Systeme nicht härten.

Auswirkungen auf die Unternehmenssicherheit

Die Auswirkungen von CVE-2025-31324 gehen über einzelne Angriffe hinaus. Sobald ein System durch Remotecodeausführung kompromittiert ist, können Angreifer dauerhaften Zugriff behalten, sensible Daten extrahieren, über Netzwerke hinweg agieren oder zusätzliche Malware einsetzen. Der Einsatz von Post-Exploitation-Tools wie Brute Ratel C4 deutet auf fortgeschrittene Ziele hin, die langfristige Spionage oder Datenexfiltration umfassen können.

In einem globalen Geschäftsumfeld, in dem SAP-Systeme häufig zentrale Betriebsdaten enthalten, können die Auswirkungen solcher Verstöße schwerwiegend sein – von Geschäftsunterbrechungen bis hin zu regulatorischen Konsequenzen.

Verteidigung und Reaktion: Was Organisationen tun sollten

Sicherheitsexperten raten dringend zum sofortigen Handeln. Die Installation der offiziellen SAP-Patches ist der erste und wichtigste Schritt. Darüber hinaus sollten Unternehmen den Zugriff auf den anfälligen Endpunkt des Metadaten-Uploaders einschränken und den Visual Composer-Dienst deaktivieren, wenn er nicht genutzt wird. Ständige Überwachung auf verdächtiges Verhalten, insbesondere auf Web-Shell-Indikatoren, kann helfen, laufende oder versuchte Angriffe zu erkennen.

Forscout-Forscher weisen darauf hin, dass selbst bereits gepatchte Systeme weiterhin gefährdet sein können, wenn Angreifer vor der Behebung Webshells installiert haben. Daher sollten die Reaktionsmaßnahmen die Überprüfung von Systemprotokollen, Verkehrsmustern und Endpunktverhalten umfassen, um Anzeichen einer Kompromittierung zu erkennen.

Fazit

CVE-2025-31324 ist eindringliches Beispiel dafür, wie schnell sich Bedrohungsakteure anpassen und neu entdeckte Schwachstellen ausnutzen können. Da globale Branchen für geschäftskritische Funktionen auf SAP angewiesen sind, steht viel auf dem Spiel. Obwohl die Schwachstelle schwerwiegend ist, gibt es klare Abwehrmaßnahmen – und Unternehmen, die schnell und entschlossen handeln, können ihr Risiko deutlich reduzieren.

In einem Umfeld, in dem sich Cyberbedrohungen rasant weiterentwickeln, ist es nach wie vor die beste Verteidigung, informiert, wachsam und proaktiv zu bleiben.