SAP、3月の月例パッチを公開 - 新規アドバイザリ21件を公開

SAPは、2025年3月の月例パッチで新規に21件のセキュリティアドバイザリを公開するとともに、従来より公開していたアドバイザリ3件について更新した。

現地時間3月11日にアドバイザリを公開したもの。新規に公開したアドバイザリを見ると、重要度が4段階中もっとも高い「クリティカル（Critical）」とされるものはなく、3件については重要度が2番目に高い「高（High）」とした

具体的には、「SAP Commerce」におけるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-27434」や、「SAP NetWeaver（ABAP Class Builder）」における認可チェックの欠如「CVE-2025-26661」、「SAP Commerce Cloud」と依存関係にある「Apache Tomcat」の複数の脆弱性「CVE-2024-38286」などへ対処している。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、「CVE-2025-27434」「CVE-2025-26661」をともに「8.8」と評価。「CVE-2024-38286」が「8.6」で続く。

さらに「中（Medium）」とされるアドバイザリ14件のほか、「低（Low）」とされる3件について公表している。

またこれら21件にくわえて、BTP上で実行される「Spring Bootアクチュエータエンドポイント」を保護するためのベストプラクティスに関する文書を提供している。今回のアドバイザリを通じて言及された脆弱性は、以下のとおり。

CVE-2024-38286
CVE-2024-38819
CVE-2024-38820
CVE-2024-39592
CVE-2024-41736
CVE-2024-52316
CVE-2025-0062
CVE-2025-0071
CVE-2025-23185
CVE-2025-23188
CVE-2025-23194
CVE-2025-24876
CVE-2025-25242
CVE-2025-25244
CVE-2025-25245
CVE-2025-26655
CVE-2025-26656
CVE-2025-26658
CVE-2025-26659
CVE-2025-26660
CVE-2025-26661
CVE-2025-27430
CVE-2025-27431
CVE-2025-27432
CVE-2025-27433
CVE-2025-27434
CVE-2025-27436

（Security NEXT - 2025/03/19 ） ツイート

PR

関連記事

Linuxカーネルに権限昇格の脆弱性「Copy Fail」 - PoC公開済み
米当局、悪用リストに脆弱性3件を追加 - 最短で5月3日対応期限
「Firefox」にアップデート - 「クリティカル」脆弱性を解消
「cPanel」に深刻な脆弱性、悪用も - 修正や侵害有無の確認を
「NVIDIA FLARE SDK」に複数の脆弱性 - 認証回避やコード実行のおそれ
「SonicOS」に複数の脆弱性 - 認証回避やDoSのおそれ
「Chrome」に30件の脆弱性 - 「クリティカル」が4件
「Nessus」「Nessus Agent」に脆弱性 - 任意ファイル削除のおそれ
「Apache MINA」に深刻な脆弱性2件 - アップデートを
米当局、脆弱性6件を悪用カタログに追加