CVE-2026-89111: SAP Cloud SDK for Python OAuth2 SSRF-hibája ügyfél-hitelesítő adatokat szivárogtat ki

Mi történt

A CVE-2026-89111 kiszolgálóoldali kéréshamisítás (SSRF) az SAP Cloud SDK for Python OAuth2-folyamatában. Egy több bérlős SAP Business Technology Platform alkalmazásban a támadó irányíthatja a tenant_subdomain paramétert. Amikor az SDK összeállít egy OAuth2 tokenkérést, a kérés átirányítható a támadó által irányított kiszolgálóra, és az OAuth2 ügyfél-hitelesítő adatok a valódi identitásszolgáltató helyett erre a kiszolgálóra kerülnek.

A CVE-rekord a hibát kritikusnak minősíti, a CVSS 3.1 alappontszám 10. A hiba hálózaton keresztül érhető el, alacsony a támadási komplexitása, nem igényel jogosultságot és felhasználói interakciót, és megváltoztatja a biztonsági hatókört. A bizalmasság és a sértetlenség besorolása magas; a rendelkezésre állást nem érinti.

A CVE-rekord nem rögzít aktív kihasználást vagy nyilvános közzétételt a CVE-2026-89111-hez.

Kit érint

Az SAP Cloud SDK for Python, amelyet sap-cloud-sdk nevű Python-csomagként terjesztenek, az SAP Cloud esetében a 0.45.2 előtti verziókban szerepel érintettként. A sérülékeny forgatókönyv olyan több bérlős SAP Business Technology Platform alkalmazás, amelynek OAuth2 tokenkérése használja a tenant_subdomain paramétert. Ha az Ön SAP BTP-n futó Python-szolgáltatásai OAuth2 client credentials típusú tokeneket bocsátanak ki, és az identitásszolgáltató URL-jét a tenant_subdomain paraméterből származtatják, ez a riasztás Önre vonatkozik.

Mit kell most tenni

Az SAP a közzététel időpontjáig nem adott ki javított kiadást vagy kerülő megoldást a CVE-2026-89111-hez.

1. Azonosítsa az összes olyan több bérlős SAP BTP alkalmazást, amely a 0.45.2 előtti sap-cloud-sdk verziótól függ. Ellenőrizze a Python-projektek függőségeit, a konténerképeket és a CI-build kimeneteket.
2. Tekintse az érintett alkalmazásokat kitettnek, és korlátozza az alkalmazások és OAuth2 tokenvégpontjaik elérését a megbízható hálózatokra, amíg az SAP ki nem adja a javítást.
3. Figyelje az érintett alkalmazások kimenő OAuth2 tokenkéréseit, és keresse azokat a célállomásokat, amelyek kívül esnek a várt identitásszolgáltatói tartományokon.
4. Kövesse az SAP Security Patch Day és az SAP Cloud SDK for Python GitHub biztonsági közleményeit a frissítésekért, és amint az SAP közzétesz egyet, értékelje újra a kitettséget.

Hogyan észlelhető

Vizsgálja át a kimenő proxy- és alkalmazásnaplókat olyan OAuth2 tokenkérések után, amelyeknél a gazdanév a várt identitásszolgáltatói tartományon kívülre oldódik fel. Keressen a kérésnaplókban vagy nyomkövetésekben olyan tenant_subdomain értékeket, amelyek ismeretlen külső gazdagépekre mutatnak. A támadó által irányított átirányítás jellemzően kimenő HTTPS-kapcsolatot hoz létre az érintett alkalmazásból egy olyan tartomány felé, amely nem része a szokásos identitásszolgáltatói konfigurációnak.

A javításon túl

Egy SAP-környezetben ez ugyanannyira szoftverellátási lánc probléma, mint alkalmazásprobléma: az SAP javítási üteme határozza meg a kitettség időtartamát, az SAP pedig még nem adott ki javítást a CVE-2026-89111-hez. A SAP HANA biztonság és felhőalapú migráció szakterületünk áttekintheti az Ön BTP-n futó Python-szolgáltatásait és a bérlők közötti OAuth2 bizalmi határokat. Az Ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok szolgáltatásunk segíthet nyomon követni, hogy mely SAP Cloud SDK-verziókat futtatja, és hogy az SAP mikor ad ki javítást, így ez a kitettség nem válik incidenssé.