CVE-2026-58231
CRITICAL(10.0)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS 10 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.9%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
10
Technische Schwere
SecBoard-Einordnung
CVE-2026-58231 betrifft SAP Commerce Cloud und ermöglicht einem nicht authentifizierten Angreifer, einen Standard-Authentifizierungsclient zu missbrauchen. Durch speziell präparierte Eingaben an Funktionen mit unzureichender Validierung kann die Schwachstelle ausgenutzt werden. Eine erfolgreiche Ausnutzung kann zur Ausführung von beliebigem Code und zur Kompromittierung interner Komponenten führen, was schwerwiegende Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung hat. Mit einem CVSS-Score von 10.0 wird diese Schwachstelle als kritisch eingestuft, was auf das hohe Schadenspotenzial und die Möglichkeit der unauthentifizierten Codeausführung hinweist. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 2%, und die Schwachstelle ist derzeit nicht im CISA KEV-Katalog gelistet. Security-Teams sollten umgehend Maßnahmen zur Behebung dieser kritischen Schwachstelle in SAP Commerce Cloud ergreifen. Eine Priorisierung der Patches oder die Implementierung von Mitigationen ist dringend erforderlich, um das Risiko einer Kompromittierung zu minimieren.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
SAP Commerce Cloud allows an unauthenticated attacker to abuse a default authentication client and submit specially crafted input to certain functions lacking sufficient validation. Successful exploitation could enable arbitrary code execution and compromise internal components, resulting in high impact on confidentiality, integrity, and availability of the application.
Erkennung & Indikatoren
Ausnutzung
In den geprüften Quellen nicht genannt
Threat-Hunting-Queries
Die Schwachstelle ermöglicht unauthentifizierte Remote Code Execution (RCE) durch missbräuchliche Nutzung eines Standard-Authentifizierungs-Clients und speziell präparierter Eingaben. Die Detektion sollte auf ungewöhnliche Prozessstarts, Netzwerkverbindungen oder Dateimodifikationen durch den SAP Commerce Cloud-Prozess abzielen, die auf eine erfolgreiche Ausnutzung hindeuten.
Sentinel/Defender KQL
ProcessCreationEvents
| where InitiatingProcessCommandLine contains "sap" and InitiatingProcessCommandLine contains "commerce"
| where FileName in ("cmd.exe", "powershell.exe", "sh", "bash") or CommandLine contains "wget" or CommandLine contains "curl"
| where InitiatingProcessParentFileName != "sap_legitimate_parent_process.exe" // Anpassen an legitime Elternprozesse
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, FileName, CommandLine, InitiatingProcessParentFileNameSplunk SPL
index=your_sap_index sourcetype=process_creation
| where InitiatingProcessCommandLine LIKE "%sap%" AND InitiatingProcessCommandLine LIKE "%commerce%"
| where FileName IN ("cmd.exe", "powershell.exe", "sh", "bash") OR CommandLine LIKE "%wget%" OR CommandLine LIKE "%curl%"
| where InitiatingProcessParentFileName != "sap_legitimate_parent_process.exe" // Anpassen an legitime Elternprozesse
| table _time, host, InitiatingProcessCommandLine, FileName, CommandLine, InitiatingProcessParentFileNameSigma
title: SAP Commerce Cloud RCE Attempt
status: experimental
description: Detects potential Remote Code Execution attempts against SAP Commerce Cloud by monitoring unusual process creations.
logsource:
category: process_creation
product: windows # or linux
detection:
selection_parent:
ParentCommandLine|contains:
- 'sap'
- 'commerce'
selection_child:
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '/bin/sh'
- '/bin/bash'
CommandLine|contains:
- 'wget'
- 'curl'
condition: selection_parent and selection_child
falsepositives:
- Legitimate administrative scripts (requires tuning of parent process exclusions)
level: highElastic ES|QL
FROM process
| WHERE process.parent.command_line LIKE '%sap%' AND process.parent.command_line LIKE '%commerce%'
| WHERE process.executable IN ('cmd.exe', 'powershell.exe', 'sh', 'bash') OR process.command_line LIKE '%wget%' OR process.command_line LIKE '%curl%'
| WHERE process.parent.executable != 'sap_legitimate_parent_process.exe' // Anpassen an legitime Elternprozesse
| SELECT @timestamp, host.name, process.parent.command_line, process.executable, process.command_line, process.parent.executableSecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.
Ausgewertete Quellen