OVERPASS, ook wel bekend als CVE-2026-44756, is een kritieke kwetsbaarheid binnen de SAP-kernel. Ontdekker Onapsis Research Labs en SAP zullen later vandaag meer details over de inmiddels gepatchte buffer overflow-fout.
Aanvallers die de kwetsbaarheid exploiteren, kunnen als ongepriviligieerde gebruiker SAP-hosts aansturen. Daardoor ligt alle proces- en businessdata binnen de SAP-instances potentieel op straat bij een compromis, concludeerde Onapsis na de ontdekking ervan. SAP Communication Manager (ICM) kan gelden als brug via HTTP, HTTPS en SMTP.
10.000 systemen, 10.0 score
OVERPASS heeft een CVSS-score van 10.0 gekregen. Het is volgens Onapsis een noodprioriteit om deze te patchen. Security Note 3747649 komt met een kernel patch die alle potentiële gevaren dicht. Echter is het mogelijk dat er in één van de 10.000 kwetsbare SAP-systemen al een aanval heeft plaatsgevonden, al heeft Onapsis er geen gedetecteerd. De aanvaller zou daarom zelf de kwetsbaarheid zelf hebben moeten vinden voordat de securityonderzoekers het aan het licht brachten.
Tracing van SAP-data kan via de zogeheten Extended Passport (EPP). Deze wordt aangemaakt als een gebruikerssessie opstart, vóór authenticatie. Het maakt gebruik van standaard communicatieprotocollen en is het standaard actief. Wachtwoorden helpen dus niet; enkel geïsoleerde instances die geen internettoegang bieden, zijn in praktische zin beschermd.
Mogelijke gevolgen
Om de serieuze aard nog te benadrukken voorbij alleen CVSS-scores: de toepassingen van OVERPASS zijn divers. Denk, zo stelt Onapsis, aan sabotage, spionage, fraude of overtredingen van regelgeving zoals NIS2, GDPR of PCI-DSS.
Aangezien het hier om de SAP-kernel gaat, is het hart van SAP-systemen getroffen. Dat betekent dat alle versies van SAP S/4HANA, SAP ERP, SAP Business Suite, SAP NetWeaver en andere oplossingen van deze kernel gebruikmaken en dus kwetsbaar zijn. Precies die uniforme toepassing maakt OVERPASS listig: het is nadrukkelijk niet een geïsoleerd probleem voor specifieke tooling.
Op jacht naar ongepatchte systemen
Het is te verwachten dat sommige organisaties hun SAP niet tijdig gaan patchen. Maar elke partij kan natuurlijk voorkomen dat zij tot die groep behoren. Allereerst is een controle van de gebruikte kernel-release nodig. Bijna alle SAP-klanten zijn tot patchen kwetsbaar. Het identificeren van elk SAP-systeem is nodig, tevens het prioriteren van instances met internettoegang. Hardening van de verbinding met de applicaties kan tevens helpen als tussenstap of extra maatregel.
Dan volgt het monitoren voor exploitatiepogingen, iets dat (net als bij andere kritieke kwetsbaarheden) vrijwel onvermijdelijk is.
Mayuresh Dani, Security Researcher bij Qualys, stelde dat SAP-systemen “belangrijke functies zoals financiën, salarisadministratie en de toeleveringsketen” draaien. “En doorgaans vereist een kernelpatch een herstart van het systeem – wat lastig in te plannen kan zijn. Bovendien is de kwetsbaarheid op drie verschillende manieren bereikbaar: via de weblaag (ICM of Web Dispatcher, d.w.z. HTTP), de SAP GUI-laag en de RFC-laag die SAP-systemen met elkaar verbindt. Dit betekent dat een systeem dat niet aan het internet is blootgesteld, nog steeds kwetsbaar is via de SAP GUI-laag. Er zijn door de leverancier verstrekte richtlijnen om het HTTP-aanvalsoppervlak tijdelijk te beperken. Deze hebben echter geen betrekking op de GUI/RFC-routes. Dit betekent dat systemen die in verbinding staan met het internet eerst verplicht moeten worden gepatcht, gevolgd door interne systemen. Dit is niet optioneel, aangezien de SAP GUI-route per ontwerp op elke applicatieserver openstaat. Organisaties kunnen de kwetsbaarheid ook verminderen door gebruik te maken van SAProuter, jump hosts of Web Dispatcher als beveiligingsmaatregelen, en tijdens de implementatie te controleren op misbruik.”