SAP פרסמה פגיעות בציון CVSS 10.0 ב-SAP Cloud SDK for Python. ה-SDK מקבל תת-דומיין של דייר (tenant) ללא אימות, ולכן פרטי ההזדהות של האפליקציה עלולים להישלח לשרת של תוקף. הדחיפות נוגעת בעיקר לאפליקציות רב-דיירים על SAP BTP.
| מזהה | CVE-2026-89111 |
| מוצר | SAP Cloud SDK for Python (חבילת sap-cloud-sdk ב-PyPI). לפי SAP: גרסאות מתחת ל-0.45.2 |
| חומרה | CVSS 10.0 (ציון SAP) — קריטית |
| מנוצל בפועל | לא דווח |
| תיקון | גרסה 0.45.2 ואילך בקווים הנתמכים |
מה קרה
ה-SDK בונה כתובת לקבלת טוקן על ידי הכנסת תת-הדומיין של הדייר לכתובת המוגדרת. בלי בדיקה, מי ששולט בתת-הדומיין יכול להפנות את הבקשה לשרת משלו, ושם יתקבלו ה-client ID וה-secret של האפליקציה. SAP מסווגת זאת כ-SSRF. הפגיעות תוקנה באוגוסט ופורסמה באוקטובר, ולפי הייעוץ לא דווח על ניצול.
The Hacker News מציין שבבדיקות שלו גרסאות 0.53.0–0.55.0 דילגו על הבדיקה בקריאות Destination, אבל SAP לא אישרה זאת ולא ציינה אם הן כלולות ב-CVE.
נקודות לשים לב
- עדכן ל-0.45.2 ומעלה בקו הנתמך. שדרוג בתוך קו 0.36 אינו פותר את הבעיה.
- בדוק אם האפליקציה שלך מעבירה ל-SDK תת-דומיין של דייר שלא אומת.
- אם אי אפשר לעדכן מיד: השווה כל תת-דומיין לרשימת הדיירים הרשומים לפני שהוא מועבר ל-SDK (המלצת SAP).
- הייעוץ אינו מציין אם יש להחליף סודות. שקול רוטציה אם יש חשש לחשיפה.
מקורות: SAP Security Advisory · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
