- Aktif istismar
- CWE-502
CVE-2025-42999
SAP NetWeaver Visual Composer'da güvensiz seri durumdan çıkarma açığı
- Yayımlandı
- Güncellendi
- 11 Ağu 2026
- Açık yaşı
- 533 gün
- Kaydı açan
- sap
Yönetici özeti
SAP NetWeaver'daki bu kritik açık, gerçek saldırılarda kullanıldığı için resmi olarak doğrulanmış durumda. Başarılı bir saldırı kurumsal SAP sistemlerinin ele geçirilmesine ve iş verilerinin çalınmasına veya bozulmasına neden olabilir. Önlemlerin gecikmeden uygulanması gerekir.
ÖzetTürkçe
SAP NetWeaver Visual Composer geliştirme sunucusundaki Metadata Uploader bileşeni, yetkili bir kullanıcının güvenilmeyen veya zararlı içerik yüklemesine izin veriyor. Bu içerik seri durumdan çıkarıldığında (CWE-502, güvensiz deserialization) ana sistemin gizliliği, bütünlüğü ve erişilebilirliği tehlikeye girebilir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve CVSS puanı 9.1 (kritik). Etkilenen ürün SAP NetWeaver Visual Composer geliştirme sunucusudur.
Saldırgan ne yapabilir?
Yeterli yetkiye sahip bir saldırgan, zararlı içerik yükleyerek sunucu üzerinde kontrolü ele geçirebilir. Bu durum veri sızıntısına, verilerin değiştirilmesine ve hizmet kesintisine yol açabilir.
Kaynaktaki açıklama (İngilizce)
SAP NetWeaver Visual Composer Metadata Uploader is vulnerable when a privileged user can upload untrusted or malicious content which, when deserialized, could potentially lead to a compromise of confidentiality, integrity, and availability of the host system.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- SAP'nin bu açık için yayımladığı güvenlik notunu ve yamayı SAP destek portalından inceleyin, ardından Visual Composer geliştirme sunucusunu içeren NetWeaver sistemlerinize uygulayın. Genel öneri
- CISA'nın gerektirdiği şekilde satıcının sunduğu önlemleri uygulayın; önlemler mevcut değilse ürünün kullanımını durdurun. CISA
- Yama uygulanana kadar Visual Composer bileşenini kullanmıyorsanız devre dışı bırakın ve sunucuya internetten erişimi engelleyin. Genel öneri
- Metadata Uploader'a erişimi olan ayrıcalıklı hesapları gözden geçirin, gereksiz yetkileri kaldırın ve parolaları yenileyin. Genel öneri
Ek önlemler
- SAP NetWeaver geliştirme ve yönetim arayüzlerini internete açmayın; yalnızca VPN veya güvenli iç ağ üzerinden erişilebilir kılın. Genel öneri
- Sunucuda olağandışı dosya yüklemeleri, yeni oluşturulan dosyalar ve beklenmeyen süreçler için günlükleri ve izleme kayıtlarını inceleyin. Genel öneri
- Ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulama kullanın ve en az yetki ilkesini uygulayın. Genel öneri
- Olası bir ele geçirilme şüphesi varsa sistemi adli inceleme için izole edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SAP SE SAP NetWeaver (Visual Composer development server) | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.