XML Signature Wrapping in SAP NetWeavers SAML Service Provider

SAP NetWeaver stellt die technische Basis für SAP-Businessanwendungen dar, etwa S4/HANA.

Durch Schwächen in der Validierung von SAML-Authentifizierungsantworten in der mitgelieferten Implementierung war es Angreifenden trotz vorhandener kryptografischer Signatur möglich, die Nutzdaten dieser, einschließlich der Benutzeridentität, zu manipulieren. Angreifende mit gültigem Zugang zum Identity Provider konnten sich so an einem geeignet konfigurierten SAP-System als beliebiger Benutzer anmelden.

Der Hersteller stellte eine Korrektur im Rahmen des Februar 2026 Patch Day in SAP Note 3697567 bereit.

Detaillierte Informationen zu diesen gefundenen Schwachstellen finden Sie in unserem Security Advisory / You will find detailed information about these security issues in our Security Advisory:

• SYSS-2026-004 (CVE-2026-23687)

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.