Avis du CERT-FR

Risques

• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données
• Contournement de la politique de sécurité
• Exécution de code arbitraire à distance
• Falsification de requêtes côté serveur (SSRF)
• Injection de code indirecte à distance (XSS)
• Injection de requêtes illégitimes par rebond (CSRF)
• Non spécifié par l'éditeur

Systèmes affectés

• BusinessObjects Business Intelligence platform (Central Management Console) versions ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
• BusinessObjects Business Intelligence Platform version ENTERPRISE 430 sans le dernier correctif de sécurité
• Capital Yield Tax Management versions CYTERP 420_700, CYT 800, IBS 7.0 et CYT4HANA 100 sans le dernier correctif de sécurité
• Commerce Cloud (Public Cloud) version COM_CLOUD 2211 sans le dernier correctif de sécurité
• Commerce Cloud versions HY_COM 2205 et COM_CLOUD 2211 sans le dernier correctif de sécurité
• CRM et S/4HANA (Interaction Center) versions S4CRM 100, 200, 204, 205, 206, S4FND 102, 103, 104, 105, 106, 107, 108, S4CEXT 107, 108, BBPCRM 701, 702, 712, 713, 714, WEBCUIF 701, 731, 746, 747, 748, 800 et 801 sans le dernier correctif de sécurité
• ERP BW Business Content versions BI_CONT 707, 737, 747 et 757 sans le dernier correctif de sécurité
• Field Logistics versions S4CORE 107 et 108 sans le dernier correctif
• KMC WPC version KMC-WPC 7.50 sans le dernier correctif de sécurité
• Landscape Transformation (Analysis Platform) versions DMIS 2011_1_700, 2011_1_710, 2011_1_730 et 2011_1_731 sans le dernier correctif de sécurité
• NetWeaver (Visual Composer development server) versions VCFRAMEWORK 7.50 sans le dernier correctif de sécurité
• NetWeaver Application Server ABAP (applications based on GUI for HTML) versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93 et 9.14 sans le dernier correctif de sécurité
• NetWeaver Application Server ABAP (Virus Scan Interface) versions SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757 et SAP_BASIS 758 sans le dernier correctif de sécurité
• NetWeaver Application Server ABAP versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89 et 7.93 sans le dernier correctif de sécurité
• NetWeaver et ABAP Platform (Application Server ABAP) versions KRNL64UC 7.53, KERNEL 7.53 et 7.54 sans le dernier correctif de sécurité
• NetWeaver et ABAP Platform (Service Data Collection) versions ST-PI 2008_1_700, 2008_1_710 et 740 sans le dernier correctif de sécurité
• NetWeaver versions SAP_ABA 700, 701, 702, 731, 740, 750, 751, 752, 75C, 75D, 75E, 75F, 75G, 75H et 75I sans le dernier correctif de sécurité
• S/4HANA (Learning Solution) versions S4HCMGXX 100 et 101 sans le dernier correctif de sécurité
• S/4HANA (Private Cloud) versions S4CORE 102, 103, 104, 105, 106, 107 et 108 sans le dernier correctif de sécurité
• S4CORE entity versions S4CORE 107 et 108 sans le dernier correctif de sécurité
• Solution Manager versions ST 720, SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 914 sans le dernier correctif de sécurité

L'éditeur indique que la vulnérabilité CVE-2025-31324 est activement exploitée.

Documentation

• Bulletin de sécurité SAP april-2025 du 08 avril 2025

  https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html

• FAQ sur l'exploitation de la vulnérabilité CVE-2025-31324

  https://me.sap.com/notes/3596125

• Référence CVE CVE-2024-56337

  https://www.cve.org/CVERecord?id=CVE-2024-56337

• Référence CVE CVE-2025-0064

  https://www.cve.org/CVERecord?id=CVE-2025-0064

• Référence CVE CVE-2025-23186

  https://www.cve.org/CVERecord?id=CVE-2025-23186

• Référence CVE CVE-2025-26653

  https://www.cve.org/CVERecord?id=CVE-2025-26653

• Référence CVE CVE-2025-26654

  https://www.cve.org/CVERecord?id=CVE-2025-26654

• Référence CVE CVE-2025-26657

  https://www.cve.org/CVERecord?id=CVE-2025-26657

• Référence CVE CVE-2025-27428

  https://www.cve.org/CVERecord?id=CVE-2025-27428

• Référence CVE CVE-2025-27429

  https://www.cve.org/CVERecord?id=CVE-2025-27429

• Référence CVE CVE-2025-27430

  https://www.cve.org/CVERecord?id=CVE-2025-27430

• Référence CVE CVE-2025-27435

  https://www.cve.org/CVERecord?id=CVE-2025-27435

• Référence CVE CVE-2025-27437

  https://www.cve.org/CVERecord?id=CVE-2025-27437

• Référence CVE CVE-2025-30013

  https://www.cve.org/CVERecord?id=CVE-2025-30013

• Référence CVE CVE-2025-30014

  https://www.cve.org/CVERecord?id=CVE-2025-30014

• Référence CVE CVE-2025-30015

  https://www.cve.org/CVERecord?id=CVE-2025-30015

• Référence CVE CVE-2025-30016

  https://www.cve.org/CVERecord?id=CVE-2025-30016

• Référence CVE CVE-2025-30017

  https://www.cve.org/CVERecord?id=CVE-2025-30017

• Référence CVE CVE-2025-31324

  https://www.cve.org/CVERecord?id=CVE-2025-31324

• Référence CVE CVE-2025-31327

  https://www.cve.org/CVERecord?id=CVE-2025-31327

• Référence CVE CVE-2025-31328

  https://www.cve.org/CVERecord?id=CVE-2025-31328

• Référence CVE CVE-2025-31330

  https://www.cve.org/CVERecord?id=CVE-2025-31330

• Référence CVE CVE-2025-31331

  https://www.cve.org/CVERecord?id=CVE-2025-31331

• Référence CVE CVE-2025-31332

  https://www.cve.org/CVERecord?id=CVE-2025-31332

• Référence CVE CVE-2025-31333

  https://www.cve.org/CVERecord?id=CVE-2025-31333