CVE-2025-42939CVE-2025-42939是SAP S/4HANA系统中Manage Processing Rules（管理处理规则）功能模块——For Bank Statements（银行对账单）组件存在的一个授权缺失漏洞。该漏洞允许经过身份验证的低权限攻击者通过篡改HTTP请求参数，删除其他用户共享规则中的条件（conditions），从而破坏应用程序的数据完整性。
根据CVSS 3.1评分体系，该漏洞评分为4.3分，属于中等严重级别。漏洞的利用条件包括：攻击者需要拥有有效的系统账户（基本权限即可），通过网络远程发起攻击，无需用户交互。漏洞的影响范围主要体现在完整性方面（低影响），机密性方面（低影响），而对可用性没有影响。
该漏洞的核心问题在于SAP S/4HANA的银行对账单处理规则功能中缺少对用户授权的充分验证。当用户尝试删除规则条件时，系统未能正确检查当前用户是否有权限删除目标规则中的条件，导致低权限用户可以越权操作其他用户的共享规则数据。这种类型的漏洞属于典型的Broken Access Control（访问控制失效）类安全问题，是OWASP Top 10中常见的安全风险之一。
SAP已于2025年10月的安全补丁日发布了相应的安全补丁（SAP Note 3625683），建议受影响的用户尽快更新到修复版本以消除安全风险。
该漏洞存在于SAP S/4HANA的Manage Processing Rules - For Bank Statements组件中，具体涉及处理规则的删除操作接口。
**漏洞原理：**
在正常业务流程中，用户可以创建处理规则（Processing Rules）用于自动化处理银行对账单。这些规则可以设置为共享（shared），供多个用户使用。规则中包含多个条件（conditions），用于定义规则触发的逻辑。
漏洞的根本原因是后端服务在处理删除条件请求时，未对当前用户身份与目标条件所属规则的所有权进行充分的授权检查。具体来说，当用户提交删除条件的请求时，系统仅验证了用户是否已登录（已认证），但未验证该用户是否有权限删除指定ID的条件对象。
**利用方式：**
1. 攻击者首先需要获取目标系统中有效的低权限账户凭证；
2. 登录系统后，访问Manage Processing Rules功能模块；
3. 通过正常浏览或枚举方式获取其他用户共享规则中条件的标识符（ID）；
4. 构造恶意HTTP请求，将目标条件ID作为请求参数提交到删除接口；
5. 由于缺少授权检查，后端服务执行删除操作，成功删除属于其他用户的共享规则条件。
这种攻击属于典型的IDOR（Insecure Direct Object Reference，不安全的直接对象引用）漏洞，攻击者通过简单地修改请求中的对象标识符即可访问或操作本不应有权访问的资源。