SAP устранила критическую SSRF-уязвимость в Cloud SDK для Python

Немецкая SAP выпустила октябрьский пакет обновлений безопасности, закрыв 20 уязвимостей в различных продуктах. Самой опасной из них признана брешь в SAP Cloud SDK для Python — официальном наборе инструментов для разработки ИИ-агентов и Python-приложений на платформе SAP Business Technology Platform (BTP).

Кража учётных данных через подмену параметра

Уязвимость получила идентификатор CVE-2026-89111 и максимальный балл опасности. Её можно эксплуатировать удалённо и без привилегий. Проблема связана с механизмом OAuth2 в мультитенантных приложениях BTP: атакующий, контролирующий параметр tenant_subdomain, способен перенаправить запросы на получение OAuth2-токена на подконтрольный ему сервер и таким образом выгрузить учётные данные клиента (SSRF-атака).

Тем, кто не может немедленно установить обновления, SAP рекомендует временную меру: проверять значения tenant_subdomain по заранее сформированному списку зарегистрированных поддоменов, прежде чем передавать их в вызовы SDK.

Другие критические бреши

В том же пакете SAP закрыла CVE-2026-89110 — критическую ошибку контроля доступа в SAP NetWeaver Visual Composer, позволяющую удалённому атакующему с ограниченными правами полностью скомпрометировать систему. Ещё одна критическая уязвимость, CVE-2026-89108 в SAP Manufacturing Integration and Intelligence, даёт пользователю с правами администратора получить контроль над нижележащей системой, создав учётную запись с повышенными привилегиями в Java-приложении.

История с продолжением

В последние месяцы SAP уже исправляла несколько уязвимостей максимальной опасности. В августе была закрыта CVE-2026-58231 в платформе электронной коммерции Commerce Cloud — спустя считанные дни компания Defused зафиксировала её активную эксплуатацию. В сентябре устранили уязвимость повреждения памяти CVE-2026-44756 в ядре SAP, названную исследователями Onapsis «OVERPASS»; по их оценке, уязвимый компонент используют более 10 000 доступных из интернета систем SAP.

Американское агентство CISA с ноября 2021 года внесло в каталог активно эксплуатируемых уязвимостей 14 брешей SAP, три из которых применялись в атаках программ-вымогателей. SAP обслуживает 99 из 100 крупнейших компаний мира, а её выручка за 2025 финансовый год превысила 36 млрд евро.

Источник: Bleeping Computer