SAP’nin Yeni Güvenlik Açıkları ve Önemi
Son günlerde, SAP, ürünlerini etkileyen toplamda 21 yeni güvenlik açığı tespit etti. Bu açılardan üç tanesi, NetWeaver yazılım çözümünü kritik seviyede etkiliyor. SAP NetWeaver, SAP’nin iş uygulamalarının temeli olan bir platformdur. ERP, CRM, SRM ve SCM gibi modüler yapıda işlev gören büyük işletmelerde yaygın olarak kullanılmaktadır.
Kritik Güvenlik Açıkları
SAP’nin Eylül ayı güvenlik bülteninde, maksimum şiddet skoru 10 üzerinden 10 olan bir güvenlik açığı bulunmaktadır. Bu açık CVE-2025-42944 olarak belirtilmiştir ve SAP NetWeaver’da (RMIP4) bulunan güvenli olmayan bir serileştirme açığıdır.
Saldırı Senaryoları
Saldırgan, kimlik doğrulama gerektirmeksizin, açık bir port üzerinden SAP NetWeaver’a kötü niyetli bir Java nesnesi göndererek belirli işletim sistemi komutlarını yürütme yeteneğine sahip olabilir. RMI-P4 olarak adlandırılan bu port, SAP NetWeaver AS Java’nın iç iletişiminde kullanılır ve yönetimsel işlemler için önemlidir. Ancak bazı kuruluşlar, güvenlik duvarı ya da diğer yanlış yapılandırmalar nedeniyle bu portu dış ağlara açmakta ve bu durum ciddi bir güvenlik riski yaratmaktadır.
Diğer Kritik Güvenlik Açıkları
SAP’nin bu ay düzelttiği ikinci kritik açık, CVE-2025-42922 (CVSS v3.1 skoru: 9.9) olup, NetWeaver AS Java (Deploy Web Service) modülünü etkilemektedir. Burada bir saldırgan, yönetici olmayan kimlik doğrulamasıyla sisteme sızarak, web hizmeti dağıtım işlevini kullanarak rastgele dosyalar yükleme yeteneğine sahip olabilir. Bu durum, potansiyel tam sistem ihlaline yol açabilir.
Üçüncü kritik açık ise, kimlik doğrulama kontrolünün eksikliği ile ilgilidir. Bu açık CVE-2025-42958 olarak adlandırılmakta ve CVSS v3.1 skoru 9.1’dir. Bu zayıflık, yetkisiz yüksek ayrıcalığa sahip kullanıcıların hassas verilere erişim, değişiklik yapma veya silme yeteneklerine sahip olmalarına yol açmaktadır.
Diğer Yüksek Şiddetli Açıklar
SAP ayrıca aşağıdaki yüksek seviyeli açıkları da gidermiştir:
- CVE-2025-42933 (SAP Business One SLD): Hassas verilerin (örneğin, kimlik bilgileri) güvenli olmayan şekilde saklanması, bu verilerin kötüye kullanılmasını kolaylaştırır.
- CVE-2025-42929 (SLT Replication Server): Eksik giriş doğrulaması sayesinde, kötü niyetli girişlerin çoğaltılmış verileri bozup manipüle etmesine olanak tanır.
- CVE-2025-42916 (S/4HANA): Temel bileşenlerdeki eksik giriş doğrulaması, yetkisiz veri manipülasyonu riskini artırır.
Hedef Alınan SAP Ürünleri
Büyük organizasyonlar tarafından kullanılan ve sıklıkla kritik verileri işleyen SAP ürünleri, siber saldırganlar tarafından yüksek değerli hedefler olarak görülmektedir. Önceki günlerde, S/4HANA, Business One ve NetWeaver ürünlerini etkileyen kritik bir kod enjeksiyonu açığının istismar edildiği haber verildi ve bu açık CVE-2025-42957 olarak kaydedildi.
Sistem Yöneticilerine Tavsiyeler
Sistem yöneticilerine, üç kritik açığın yamalanması ve azaltılması için SAP’nin sağladığı güncelleme ve önerilere uymaları tavsiye edilmektedir. Müşterilerin SAP hesapları üzerinden bu güncellemeleri takip etmeleri önemlidir.
Genel Değerlendirme
SAP’nin belirttiği yeni güvenlik açıkları, özellikle büyük işletmeler için ciddi riskler barındırmaktadır. Kuruluşların, bu tür zafiyetlere karşı proaktif bir yaklaşım benimsemesi ve gerekli önlemleri alması gereklidir. Güvenliğin sağlanması, sadece teknik bir önlem değil, aynı zamanda bir işletme stratejisi haline gelmelidir.
Web güvenliği projelerine yatırım yapmak, bilgi güvenliği uzmanlarıyla çalışmak ve düzenli olarak yazılım güncellemeleri yapmak, siber tehditlere karşı en iyi savunma yöntemlerindendir. Ayrıca, çalışanların siber güvenlik farkındalığını artırmak için eğitim programları düzenlemek de önemli bir adımdır.
Sonuç olarak, SAP’nin çözümlerdeki güvenlik açıklarına dikkat edilmesi ve belirlenen zafiyetlerin hızla kapatılması, işletmelerin veri güvenliğini sağlamak için kritik öneme sahiptir.
