SAP Cloud SDK için CVSS 10 Güvenlik Açığı Açıklandı

SAP, Cloud SDK for Python'da tespit edilen kritik bir güvenlik açığını duyurdu. Bu açık, uygulamaların OAuth2 istemci kimlik bilgilerini saldırganların kontrolündeki bir sunucuya göndermesine neden olabiliyor. Özellikle SAP Business Technology Platform (BTP) üzerinde çok kiracılı uygulamaları etkileyen bu sorun, 13 Ekim'de yayınlanan bir güvenlik duyurusunda belirtildi.

Güvenlik Açığının Detayları

Açığın CVE-2026-89111 olarak kaydedildiği ve SAP'nin CVSS puanlamasında 10 üzerinden 10 puan aldığı bildirildi. Sorunun çözümü için 21 Ağustos'ta yayınlanan 0.45.2 sürümü öneriliyor. Bu sürüm, uygulamanın istemci kimlik bilgilerini kullanarak kimlik doğrulama işlemlerini yönetiyor. Yeni sürüm, geçersiz kiracı alt alan adlarını reddeden bir kontrol ekledi.

Etkileyen Sürümler

Ancak, 0.53.0 ile 0.55.0 arasındaki sürümler, SDK'nın Destination hizmet modülünü çağırdığında bu kontrolü tüm durumlarda uygulamıyor. Bu sürümler, 10 Eylül ile 18 Eylül tarihleri arasında yayınlandı. 0.53.0 sürümü, bu modülü yeni bir paylaşılan koda taşıdı ve bu kodda kontrol yer almadı. 0.55.1 sürümü ise bu kontrolü ekledi.

Duyuruda belirtilene göre, kiracı alt alan adı URL ayırıcıları içeriyorsa, artık hemen bir hata mesajı üretiliyor. Bu değişiklik, saldırganların kimlik bilgilerini kontrol ettikleri bir uç noktaya yönlendirilmesini engelliyor.

Uygulama Güncellemeleri ve Önlemler

SAP, kullanıcıların henüz güncelleme yapamayan uygulamaları için, her kiracı alt alan adını kayıtlı kiracı listesi ile karşılaştırmalarını öneriyor. Açık, yalnızca bir uygulama kiracı alt alan adını SDK'ya geçtiğinde önem taşıyor. Duyuruda, kontrolü olmayan bir sürüm kullanan uygulamaların istemci kimlik bilgilerini değiştirmesi gerekip gerekmediği konusunda bilgi verilmedi.

Saldırganların Elde Edeceği Bilgiler

Saldırgan, kiracı alt alan adını kontrol edebiliyorsa, SDK'nın erişim token'ı talep etmek için yaptığı isteği kendi sunucusuna yönlendirebilir. Bu durum, uygulamanın istemci kimliği ve istemci sırrının tehlikeye girmesine neden olabilir. Açık, sunucu tarafı istek sahtekarlığı (SSRF) olarak tanımlanıyor ve bu tür bir zayıflık, bir sunucunun istemediği bir hedefe istek göndermesine yol açabiliyor.

Sonuç

SAP, bu açığı ilk olarak 16 Mart'ta yayınlanan SDK sürümünde tespit etti. Ağustos ayında yapılan düzeltme, güvenlik ile ilgili bir sorun olarak belirtilmemişti. Duyuru, açığı bildiren bir GitHub kullanıcısına teşekkür ediyor ancak herhangi bir saldırı rapor edilmediğini belirtiyor.