CVE-2026-27690: Kritisk fejl i SAP Approuter
Kritisk fejl i SAP Approuter (CVE-2026-27690) lader angribere uden login aflæse andre brugeres data og lukke systemet ned. Opdatér nu.
Hvad er det?
CVE-2026-27690 er en sårbarhed i SAP Approuter, den komponent der dirigerer al HTTP-trafik mellem brugere og de bagvedliggende services i en SAP-cloudløsning, typisk bygget på SAP Business Technology Platform. Fejlen kaldes HTTP request smuggling: Approuter og den service, den sender forespørgsler videre til, tolker samme forespørgsel forskelligt. Det gør det muligt for en angriber at snige en ekstra, skjult forespørgsel ind i en normal netværksforbindelse, så systemet blander svar sammen mellem forskellige brugere.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger SAP Approuter til at eksponere SAP-applikationer i skyen, for eksempel Fiori-apps eller andre løsninger bygget på SAP BTP. Det gælder både SAP-kunder med egen drift af Approuter og virksomheder, der får det driftet af en integrator. NVD-data angiver ikke konkrete versionsnumre for denne CVE, så I bør slå jeres installerede Approuter-version op i SAP Support Portal og sammenholde med den tilhørende SAP-note for at se, om I er ramt.
Hvad kan ske?
Fordi svar fra serveren kan blive sendt til den forkerte bruger, kan en angriber få adgang til andre brugeres session-data, svar-indhold eller andre oplysninger, der egentlig hørte til en anden forbindelse. Samtidig kan den forkerte tolkning af forespørgsler bringe Approuter i en tilstand, hvor tjenesten stopper med at svare, så alle brugere af den pågældende SAP-applikation mister adgang. For en dansk virksomhed betyder det risiko for lækage af persondata eller forretningsdata samt driftsstop på et system, medarbejdere eller kunder er afhængige af.
Hvor alvorligt er det?
CVSS-scoren er 9,1 af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N). Angriberen skal blot kunne sende netværkstrafik til Approuter (AV:N) og har let ved at udføre angrebet (AC:L). Konsekvensen er høj på fortrolighed og tilgængelighed, men ingen direkte påvirkning af dataintegritet. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen, men den lave angrebskompleksitet og manglen på krav om login gør den attraktiv at afprøve for en angriber.
Hvad gør jeg nu?
Gør følgende i prioriteret rækkefølge:
- Installér den rettede version af SAP Approuter via den tilhørende SAP-note i SAP Support Portal. Det lukker selve hullet.
- Kortlæg alle steder, hvor Approuter kører i jeres miljø, både produktion, test og udvikling, da smuglingsfejl typisk skal rettes overalt.
- Gennemgå logs for usædvanlige HTTP-headere eller uventede svar, der kan indikere forsøg på request smuggling.
- Begræns netværksadgang til Approuter via firewall eller reverse proxy, hvis en øjeblikkelig opdatering ikke er mulig.
- Informér relevante systemejere og databeskyttelsesansvarlig, hvis systemet behandler persondata.
- Kontakt jeres SAP-partner eller Auroa, hvis I ikke selv kan identificere og opdatere alle Approuter-installationer.
Opdatér inden for 72 timer
Vi anbefaler, at I opdaterer SAP Approuter til den rettede version så hurtigt, det kan planlægges ind i driften, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Det er kun forsvarligt at vente, hvis Approuter ikke er tilgængelig fra internettet og kun bruges internt bag stærke netværksbarrierer. Er I i tvivl om, om jeres version er ramt, hjælper vi gerne med at afklare det.
Tidslinje
Konkrete eksempler
Session-lækage i en Fiori-app hos en dansk produktionsvirksomhed
En dansk produktionsvirksomhed bruger SAP Fiori via Approuter til at give medarbejdere adgang til lagerstyring udefra. En angriber sender en manipuleret HTTP-forespørgsel til Approuter, som får systemet til at blande en medarbejders svar sammen med angriberens forbindelse. Angriberen får derved adgang til session-data, der giver adgang til interne systemer, uden selv at have logget ind.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-27690?
I er potentielt ramt, hvis I kører SAP Approuter som en del af en SAP BTP-løsning. Tjek jeres installerede version mod den tilhørende SAP-note i SAP Support Portal for at se, om jeres version er berørt.
Kan vi vente med opdateringen til weekenden?
Det afhænger af, om Approuter er tilgængelig fra internettet. Er den det, bør opdateringen prioriteres inden for få dage, da angrebet ikke kræver login. Er systemet kun tilgængeligt internt bag stram netværkssegmentering, kan I planlægge opdateringen ind i næste vedligeholdelsesvindue.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå logs for Approuter og bagvedliggende services for usædvanlige HTTP-forespørgsler, uventede svarindhold eller sammenblandede sessioner. Se også efter driftsstop eller fejlmeddelelser, der ikke kan forklares af normal drift.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata faktisk er blevet eksponeret via sårbarheden. Uden tegn på faktisk udnyttelse er der ikke i sig selv anmeldelsespligt, men vi anbefaler at dokumentere jeres undersøgelse.
Hvad koster det at vente med at opdatere?
Da angrebet ikke kræver login og har lav teknisk kompleksitet, er risikoen for udnyttelse relativt let for en angriber at afprøve. Ventetid øger risikoen for datalækage og driftsstop, uden at det kræver dyre eller avancerede metoder fra en angriber.
Rammer det også vores leverandører eller drift-partnere?
Ja, hvis en ekstern part drifter jeres SAP BTP-miljø eller Approuter for jer, bør I bede dem bekræfte, at opdateringen er anvendt, da ansvaret for opdatering typisk ligger hos den, der drifter systemet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Due to an HTTP Request Smuggling vulnerability in SAP Approuter, an unauthenticated attacker could send a specially crafted HTTP request that leads to request-response desynchronization. This could result in the exposure of user responses and cause the system to become unavailable. This leads to a high impact on confidentiality and availability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.