FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

漏洞概况

网络安全专家警告称，SAP S/4HANA 软件中存在一个高危命令注入漏洞（追踪编号 CVE-2025-42957，CVSS 评分 9.9），目前已被攻击者活跃利用。攻击者可利用该漏洞完全控制 SAP 系统，包括篡改数据库、创建超级用户账户以及窃取密码哈希值。

技术细节

根据安全公告描述："SAP S/4HANA 允许拥有用户权限的攻击者通过 RFC 协议暴露的功能模块实施攻击。该漏洞能够绕过关键权限检查，向系统注入任意 ABAP 代码。从本质上说，该漏洞相当于一个后门，可能导致系统完全沦陷，破坏其机密性、完整性和可用性。"

SAP S/4HANA ERP 是 SAP 公司面向大中型企业推出的资源规划套件，用于管理财务、供应链、制造、销售、采购和人力资源等核心业务流程。该漏洞影响所有 SAP S/4HANA 版本（私有云和本地部署），攻击者仅需低权限账户即可实现系统完全控制。

影响与应对

厂商已于 2025 年 8 月 11 日发布补丁。SecurityBridge 威胁研究实验室发现并确认该漏洞的利用代码已在野出现，建议管理员立即修复。

SecurityBridge 研究人员指出："攻击者只需付出极小代价就能实现系统完全控制，成功利用可能导致欺诈、数据窃取、间谍活动或勒索软件植入。为展示漏洞潜在影响，我们基于自身研究和工具制作了演示案例。"

攻击特征

专家警告称，虽然攻击尚未大规模扩散，但漏洞已被恶意利用。未打补丁的 SAP 系统面临风险，且攻击者通过逆向分析 ABAP 补丁即可轻松构造利用代码。

SecurityBridge 总结道："攻击者仅需 SAP 系统的低级凭证（任何能调用漏洞 RFC 模块的有效用户账户，以及具备 02 活动的 S_DMIS 特定权限），且无需用户交互即可实施攻击。由于攻击复杂度低且可通过网络远程执行，因此 CVSS 评分高达 9.9。简而言之，恶意内部人员或通过钓鱼等手段获取基本用户访问权限的攻击者，均可利用此漏洞完全掌控 SAP 环境。"

参考来源：

Critical SAP S/4HANA flaw CVE-2025-42957 under active exploitation

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）