NEWS
SAP hat eine kritische Sicherheitslücke im „Cloud SDK for Python“ offengelegt, die mit einem CVSS-Score von 10,0 bewertet wird. Die Schwachstelle ermöglicht es Angreifern unter bestimmten Voraussetzungen, OAuth2-Zugangsdaten einer Anwendung an einen von ihnen kontrollierten Server umzuleiten und abzugreifen. Betroffen sind insbesondere mandantenfähige Anwendungen auf der „SAP Business Technology Platform“ (BTP), die das SDK zur Authentifizierung verwenden.
Die als CVE-2026-89111 geführte Schwachstelle beruht auf einer unzureichenden Validierung des Parameters tenant_subdomain. Kontrolliert ein Angreifer den entsprechenden Mandanten-Subdomain-Wert, kann er manipulierte Eingaben verwenden, um OAuth2-Token-Anfragen an einen eigenen Server umzuleiten. Dabei können die Client-ID und das Client-Secret der Anwendung offengelegt werden. Welche weiteren Auswirkungen ein Missbrauch hat, hängt von den Berechtigungen der kompromittierten Zugangsdaten ab.
SAP hat eine Korrektur veröffentlicht, die eine entsprechende Validierung des Mandanten-Subdomains sicherstellt. Allerdings wurde festgestellt, dass mehrere spätere Versionen die Prüfung bei bestimmten Aufrufen des Destination-Service nicht durchgehend anwenden. Administratoren und Entwickler sollten deshalb die konkret eingesetzte SDK-Version prüfen und sicherstellen, dass eine Version mit funktionierender Validierung verwendet wird. Als zusätzliche Schutzmaßnahme empfiehlt sich, Mandanten-Subdomains gegen eine Liste bekannter und zulässiger Werte abzugleichen.
Was jetzt zu tun ist:
- eingesetzte Versionen des SAP Cloud SDK for Python auf Betroffenheit prüfen
- auf eine Version mit funktionierender Validierung aktualisieren – insbesondere mindestens Version 0.55.1 verwenden
- Mandanten-Subdomains vor der Übergabe an das SDK gegen eine Allowlist prüfen
- bei Verwendung verwundbarer Versionen untersuchen, ob OAuth2-Zugangsdaten offengelegt wurden, und diese bei Bedarf erneuern
Autor: Christoph Kronabel
