OAuth2-SSRF im SAP Cloud SDK for Python kann Client-Anmeldedaten preisgeben (CVE-2026-89111)

Was passiert ist

CVE-2026-89111 ist eine Server-Side Request Forgery (SSRF) im OAuth2-Ablauf des SAP Cloud SDK for Python. In einer mandantenfähigen Anwendung auf der SAP Business Technology Platform kann ein Angreifer den Parameter tenant_subdomain kontrollieren. Erstellt das SDK eine OAuth2-Token-Anfrage, kann diese Anfrage an einen vom Angreifer kontrollierten Server umgeleitet werden; die OAuth2-Client-Anmeldedaten werden dann an diesen Server und nicht an den legitimen Identitätsanbieter gesendet.

Der CVE-Eintrag stuft die Schwachstelle mit einem CVSS-3.1-Basiswert von 10 als kritisch ein. Sie ist über das Netzwerk bei geringer Angriffskomplexität erreichbar, erfordert keine Berechtigungen und keine Benutzerinteraktion und verändert den Sicherheitsumfang. Vertraulichkeit und Integrität werden als hoch bewertet; die Verfügbarkeit ist nicht beeinträchtigt.

Im CVE-Eintrag sind für CVE-2026-89111 weder eine aktive Ausnutzung noch eine öffentliche Bekanntmachung vermerkt.

Wer betroffen ist

SAP Cloud SDK for Python, bereitgestellt als Python-Paket sap-cloud-sdk, ist für SAP Cloud in Versionen vor 0.45.2 als betroffen ausgewiesen. Das verwundbare Szenario ist eine mandantenfähige Anwendung auf der SAP Business Technology Platform, deren OAuth2-Token-Anfrage den Parameter tenant_subdomain verwendet. Wenn Ihre Python-Dienste auf der SAP BTP OAuth2-Tokens über den Client-Credentials-Flow ausstellen und die URL des Identitätsanbieters aus tenant_subdomain ableiten, gilt diese Warnung für Sie.

Was jetzt zu tun ist

SAP hat zum Zeitpunkt der Veröffentlichung weder eine korrigierte Version noch eine Problemumgehung für CVE-2026-89111 veröffentlicht.

1. Ermitteln Sie alle mandantenfähigen Anwendungen auf der SAP BTP, die von sap-cloud-sdk in einer Version vor 0.45.2 abhängen. Prüfen Sie Python-Projektabhängigkeiten, Container-Images und CI-Build-Ausgaben.
2. Behandeln Sie betroffene Anwendungen als exponiert und beschränken Sie den Zugriff auf die Anwendungen und ihre OAuth2-Token-Endpunkte auf vertrauenswürdige Netzwerke, bis SAP eine korrigierte Version veröffentlicht.
3. Überwachen Sie ausgehende OAuth2-Token-Anfragen betroffener Anwendungen auf Ziele außerhalb der erwarteten Domains des Identitätsanbieters.
4. Beobachten Sie den SAP Security Patch Day und den GitHub-Sicherheitshinweis zum SAP Cloud SDK for Python auf Aktualisierungen und bewerten Sie die Gefährdung neu, sobald SAP eine Korrektur veröffentlicht.

Wie man es erkennt

Prüfen Sie ausgehende Proxy- und Anwendungsprotokolle auf OAuth2-Token-Anfragen, deren Host außerhalb der erwarteten Domain des Identitätsanbieters aufgelöst wird. Achten Sie in Anfrageprotokollen oder Traces auf Werte für tenant_subdomain, die auf unbekannte externe Hosts verweisen. Eine vom Angreifer kontrollierte Umleitung führt typischerweise zu einer ausgehenden HTTPS-Verbindung von der betroffenen Anwendung zu einer Domain, die nicht Teil der normalen Konfiguration des Identitätsanbieters ist.

Über den Patch hinaus

In einer SAP-Systemlandschaft ist dieses Problem ebenso eine Frage der Software-Lieferkette wie ein Anwendungsproblem: Der Patch-Rhythmus von SAP bestimmt das Zeitfenster der Gefährdung, und SAP hat für CVE-2026-89111 noch keine Korrektur veröffentlicht. Mit dem Angebot SAP-HANA-Sicherheit & Cloud-Migration können wir Ihre Python-Dienste auf der BTP und die OAuth2-Vertrauensgrenzen zwischen Mandanten überprüfen. Mit Lieferkettenschutz & Drittparteienrisiko unterstützen wir Sie dabei, nachzuvollziehen, welche Versionen des SAP Cloud SDK Sie einsetzen und wann SAP eine Korrektur veröffentlicht, damit aus dieser Gefährdung kein Sicherheitsvorfall wird.