SAP công bố lỗ hổng nghiêm trọng trong Cloud SDK for Python
"SAP disclosed CVE-2026-89111, a CVSS 10.0 flaw in the Cloud SDK for Python that could let an attacker-controlled tenant subdomain redirect OAuth2 client credentials to an attacker server, enabling credential theft via SSRF. The issue was fixed in version 0.45.2, with later fixes in 0.55.1 for additional code paths; affected users should upgrade to a patched release or validate tenant subdomains against an allowlist before use."
Rủi ro rò rỉ client credentials và SSRF có thể cho phép chuyển hướng yêu cầu sang máy chủ do kẻ tấn công kiểm soát; mức ảnh hưởng cao với ứng dụng đa thuê bao dùng SAP BTP.
Có thể ảnh hưởng đến tính toàn vẹn xác thực và làm tăng nguy cơ truy cập trái phép vào dịch vụ phụ thuộc; cần ưu tiên nâng cấp bản vá và kiểm tra cấu hình triển khai.
SAP đã công bố CVE-2026-89111, một lỗ hổng CVSS 10.0 trong Cloud SDK for Python có thể khiến thông tin xác thực OAuth2 client credentials bị gửi tới máy chủ do kẻ tấn công kiểm soát. Vấn đề ảnh hưởng đến các ứng dụng đa thuê bao trên SAP Business Technology Platform (BTP) khi ứng dụng truyền tenant subdomain vào SDK để yêu cầu token.
Theo mô tả, các phiên bản trước 0.45.2 thiếu cơ chế kiểm tra tên tenant hợp lệ, cho phép giá trị không hợp lệ được dùng để tạo URL và dẫn tới SSRF. SAP cho biết bản 0.45.2 đã bổ sung kiểm tra này, nhưng một số nhánh phát hành sau đó vẫn còn các đường dẫn mã chưa áp dụng đầy đủ; bản 0.55.1 tiếp tục sửa cho các trường hợp bổ sung.
Khuyến nghị kỹ thuật: nâng cấp lên bản đã vá phù hợp, ưu tiên 0.55.1 trở lên hoặc các bản đã được xác nhận có kiểm tra đầy đủ; nếu chưa thể nâng cấp, hãy đối chiếu tenant subdomain với allowlist trước khi chuyển vào SDK. Tổ chức cũng nên rà soát các ứng dụng đang dùng Destination service và các module liên quan để xác định phạm vi ảnh hưởng.