Az SAP javítást adott ki a Cloud SDK Python-változatának maximális súlyosságú sérülékenységéhez, amely távoli támadók számára teheti lehetővé alkalmazáshitelesítő adatok megszerzését. A közlés a több ügyfélkörnyezetet kiszolgáló felhőintegrációk biztonságára irányítja a figyelmet.
A CVE-2026-89111 azonosítójú, OAuth2-folyamatot érintő szerveroldali kéréskikényszerítési — SSRF — hiba közzétett súlyossági pontszáma 10,0. Az SAP szerint a sap-cloud-sdk csomag 0.45.2 előtti verziói érintettek, a javított kiadás már elérhető. A gyártói közlemény az SAP Business Technology Platformon, azaz BTP-n működő, több bérlőt kiszolgáló alkalmazások hitelesítési folyamatát érintő problémát ír le. Forrás: az SAP Cloud SDK biztonsági közleménye
A sérülékenység az októberi, felhőfejlesztési eszközöket és vállalati alkalmazásokat egyaránt érintő javítási csomag legsúlyosabb tétele. Az SAP 2026. októberi Security Patch Day közleménye 16 új biztonsági jegyzetet, négy GitHub biztonsági közleményt és két korábban kiadott jegyzet frissítését sorolja fel. Forrás: SAP Security Patch Day — October 2026
Hogyan szivároghatnak ki a hitelesítő adatok?
A sérülékeny folyamat a tenant_subdomain nevű paramétert használja az OAuth2-tokenkérés célcímének összeállításakor. Ha a támadó képes befolyásolni ezt az értéket, elérheti, hogy az alkalmazás a tokenkérelmet egy általa üzemeltetett szerverre küldje. Ezzel az alkalmazás klienshitelesítő adatai is a támadóhoz kerülhetnek.
Az SAP javítása a paramétert az RFC 1123 DNS-címkékre vonatkozó szabályai alapján ellenőrzi, mielőtt beillesztené az URL-be. Azoknál az alkalmazásoknál, amelyek nem frissíthetők azonnal, a vállalat azt javasolja, hogy a tenant értékét a regisztrált ügyfélkörnyezetek aldomainjeinek engedélyezési listájával vessék össze, mielőtt átadnák az SDK hívásainak.
A közlemény hálózaton keresztüli kihasználhatóságot ír le, amelyhez nem szükséges előzetesen megszerzett jogosultság vagy felhasználói közreműködés. Aktív támadási kampányról nem számol be. Ezt azonban nem szabad annak bizonyítékaként értelmezni, hogy a hibát biztosan nem használták ki. Forrás: az SAP hibaleírása, javítása és átmeneti intézkedése
Miért fontosak az alkalmazások hitelesítő adatai?
A lehetséges következmények túlmutatnak egyetlen hitelesítési kérés tartalmának kiszivárgásán.
Az OAuth 2.0 engedélyezési keretrendszerben a titkos hitelesítő adatot biztonságosan kezelni képes kliensek az engedélyezési szervernél azonosíthatják magukat, amikor hozzáférési tokent kérnek. A client credentials folyamatban az alkalmazás a saját jogosultságai alapján jár el, nem egy felhasználó interaktív bejelentkezésére támaszkodik.
Ezért fontos különbséget tenni a kliens titkos hitelesítő adata — a client secret — és a hozzáférési token között. A token meghatározott hozzáférési jogosultságot képvisel, és lejárhat. Egy érvényes klienshitelesítő adattal viszont további tokenek is igényelhetők lehetnek, az engedélyezési szerver szabályaitól és a kliensnek kiosztott jogosultságoktól függően. Forrás: RFC 6749 — The OAuth 2.0 Authorization Framework
Egy érintett telepítésnél a gyakorlati hatás ezért attól függ, milyen szolgáltatásokhoz fér hozzá az alkalmazás, milyen jogosultságokat kapott, és milyen további védelmi intézkedések működnek. A hitelesítő adatok kiszivárgása nem jelent automatikusan korlátlan hozzáférést minden kapcsolódó SAP-rendszerhez.
Az üzleti szempontból lényeges kérdés az, hogy mit tehetne egy támadó az érintett alkalmazás nevében. Ennek megválaszolásához az alkalmazás tényleges jogosultságait kell megvizsgálni; önmagában a sérülékenység súlyossági pontszáma nem elegendő.
Egyedi fejlesztésű alkalmazásokban is jelen lehet az érintett függőség
Az SAP projektdokumentációja a Python SDK-t a BTP-szolgáltatások hivatalos Python-klienseként írja le. A könyvtár hitelesítési, konfigurációs és titokkezelési interfészeket biztosít, emellett többek között a célrendszer-kapcsolatok kezelését, az objektumtárolást és az auditnaplózást is támogatja.
A projekt AI-alkalmazásokhoz és ügynökökhöz kapcsolódó képességeket is tartalmaz, például AI Core-integrációt, ügynökmemóriát és ügynökátjárót. Ez a széles szerepkör különösen fontossá teszi a függőségek áttekinthetőségét: a biztonsági csapatoknak meg kell állapítaniuk, mely belső fejlesztésű alkalmazások használják a csomagot. Forrás: az SAP Cloud SDK for Python hivatalos projektje
A leltárnak túl kell terjednie a központilag felügyelt SAP-szervereken. A Python-szolgáltatásoknak, konténereknek, háttérfeladatoknak és alkalmazás-összeállítási folyamatoknak eltérő felelősei és kiadási ütemezései lehetnek.
Üzemeltetési szempontból a könyvtár javításának el kell jutnia a ténylegesen futó alkalmazásig. A függőséget meghatározó verzióbeállítás módosítása csak az egyik lépés. A csapatoknak azt is ellenőrizniük kell, hogy az újra összeállított és telepített alkalmazások valóban a javított csomagot tartalmazzák-e.
További kritikus javítások is érkeztek októberben
Az októberi közlemény a Python SDK hibája mellett három további kritikus sérülékenységet emel ki:
| Sérülékenység | Érintett termék vagy komponens | Érintett verziók | CVSS | SAP biztonsági jegyzet |
|---|---|---|---|---|
| CVE-2026-89110 | SAP NetWeaver Visual Composer — hibás hozzáférés-szabályozás | VC70RUNTIME 7.50 | 9,9 | 3797111 |
| CVE-2026-89107 | SAP S/4HANA, Manage Substitution/Validation Rules — kódinjektálás | S4CORE 105, 106, 107, 108, 109 | 9,9 | 3805589 |
| CVE-2026-89108 | SAP Manufacturing Integration and Intelligence, Configuration Service — hiányzó jogosultság-ellenőrzés | XMII 15.4, 15.5 | 9,1 | 3798788 |
Forrás: az SAP októberi biztonsági közleménye
Ezekhez eltérő támadási feltételek tartoznak, ezért külön-külön kell értékelni őket. Az, hogy ugyanabban a javítási csomagban szerepelnek, nem bizonyít közös támadási láncot.
A Visual Composer esetében a National Vulnerability Database bejegyzése bizonyos portálfunkciók elégtelen jogosultság-ellenőrzését nevezi meg. A közzétett vektor hálózaton keresztüli támadást ír le, amelyhez alacsony szintű meglévő jogosultság szükséges, és amely súlyos hatással lehet a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. Forrás: NVD — CVE-2026-89110
Ez az előfeltétel számít a javítási prioritás meghatározásakor. A hitelesítést igénylő sérülékenység is indokolhat sürgős beavatkozást, különösen akkor, ha sok felhasználó rendelkezik megfelelő fiókkal, vagy egy kompromittált hitelesítő adat biztosíthatja a támadáshoz szükséges hozzáférést.
Az S/4HANA szabályfeldolgozása kódfuttatási útvonallá válhat
Az S/4HANA hibája azt szemlélteti, hogyan válhat egy üzleti konfigurációs funkció biztonsági szempontból érzékeny területté.
A sérülékenység leírása szerint az érintett szabálydefiniálási funkció nem ellenőrzi megfelelően a szakterület-specifikus szkriptnyelven feldolgozott bemenetet.
Egy hitelesített, a szükséges üzleti jogosultságokkal rendelkező támadó olyan speciálisan kialakított adatot küldhet be, amelyet a szabályfeldolgozó logika végrehajtható ABAP-kódként értelmez. A sikeres kihasználás az érintett rendszer kompromittálódásához vezethet.
Ez eltér a hitelesítés nélküli internetes támadástól. A kitettség vizsgálatakor fel kell mérni, kik rendelkeznek a szükséges üzleti jogosultságokkal, hogyan védik ezeket a fiókokat, és ellenőrzik-e a szabálymódosításokat.
A szükséges javítást az SAP 3805589-es biztonsági jegyzete dokumentálja. A szervezeteknek ebből kell megállapítaniuk, hogy a javítás alkalmazandó-e a telepített rendszerükre, és milyen megvalósítási követelmények tartoznak hozzá. Forrás: SAP Security Note 3805589
A gyártásintegrációs szoftver hibája adminisztratív határt léphet át
A Manufacturing Integration and Intelligence sérülékenysége az alkalmazásadminisztráció és az alatta működő szerver feletti ellenőrzés elválasztását érinti.
A leírás szerint egy már MII-adminisztrátori jogosultsággal rendelkező támadó speciálisan kialakított kéréssel emelt jogosultságú fiókot hozhat létre az alkalmazás alatti Java-alkalmazásszerveren.
A kockázat a hatáskör bővülése: az eredetileg egyetlen alkalmazás kezelésére szánt hozzáférés szélesebb rendszerfelügyeletté alakítható. Emiatt a már meglévő adminisztrátori hozzáférés követelménye nem teszi jelentéktelenné a hibát.
A szervezeteknek az SAP 3798788-as biztonsági jegyzetét kell követniük, miközben érdemes felülvizsgálniuk az adminisztrátori fiókok felelőseit és a váratlan fióklétrehozási eseményeket is. Forrás: SAP Security Note 3798788
A védelemnek a kimenő kérésekre is ki kell terjednie
A Python SDK sérülékenysége arra is rámutat, milyen fontos ellenőrizni, hová küld érzékeny információt az alkalmazás.
Az OWASP SSRF-megelőzési útmutatója az alkalmazáson belüli bemenetellenőrzést és a hálózati szabályozást egyaránt alkalmazó, rétegzett védelmet javasol. Ha a megengedett célpontok ismertek, engedélyezési listával korlátozható a kommunikáció a jóváhagyott címekre. Forrás: OWASP SSRF Prevention Cheat Sheet
A hitelesítési szolgáltatásoknál a kérés célcíme is a biztonsági határ része. A bejövő alkalmazásforgalom védelme önmagában nem elegendő, ha egy támadó által befolyásolt érték megváltoztathatja a hitelesítő adatokat tartalmazó kimenő kérés célját.
A hálózati korlátozások további védelmet adhatnak, de igazodniuk kell a szükséges szolgáltatáskapcsolatokhoz. A szervezeteknek körültekintően kell felmérniük a kimenő hozzáféréseket, és a változtatásokat a szükséges hitelesítési folyamatokkal együtt kell tesztelniük.
Ezek általános védelmi intézkedések, nem annak bizonyítékai, hogy valamely SAP-ügyfél környezetét kompromittálták.
Milyen lépések következnek a szervezetek számára?
A gyakorlati reagáláshoz az alkalmazásfejlesztők, az SAP-adminisztrátorok, az identitáskezelési szakemberek és a biztonsági üzemeltetés összehangolt munkája szükséges:
- A tényleges kitettség azonosítása. Ellenőrizzék az alkalmazásfüggőségeket és a futó környezeteket, majd rendeljenek felelőst az érintett szolgáltatásokhoz.
- A javítások telepítése és ellenőrzése. Állítsák össze és telepítsék újra az érintett alkalmazásokat. A csomag verzióját a futtatási környezetben is ellenőrizzék, ne csak a forráskódtárolóban.
- A hitelesítő adatok kitettségének értékelése. Gyanús tevékenység vagy megalapozott kitettség esetén cseréljék az érintett titkos hitelesítő adatokat, és vizsgálják felül a hozzájuk tartozó jogosultságokat.
- A releváns megfigyelési adatok vizsgálata. Keressék a váratlan célpontra irányuló hitelesítési forgalmat, az alkalmazáskliensek szokatlan tevékenységét és a megmagyarázhatatlan adminisztratív változtatásokat.
- A teljes javítási csomag rangsorolása. Minden kritikus hibát a telepített komponensek, a szükséges hozzáférések és az üzleti hatás alapján értékeljenek.
- A végrehajtás igazolása. Rögzítsék a sikeres telepítéseket, a fennmaradó kivételeket és a még nyitott kitettségekért felelős személyeket.
Ezek a közzétett hibák működéséből levezetett üzemeltetési ajánlások. Nem jelentik azt, hogy valamely konkrét környezetben már megfigyelték a kihasználást.
A vezetők számára az elsődleges követelmény az érintett alkalmazások, az azokhoz tartozó hozzáférések és a javítás várható befejezésének világos áttekintése. Így kapcsolható össze a frissítési munka azokkal az üzleti szolgáltatásokkal és adatokkal, amelyeket védeni kell.
Eredeti cím: SAP Patches Maximum-Severity Cloud SDK Flaw Exposing Application Credentials
