LONDON (IT BOLTWISE) – SAP warnt vor einer CVSS-10-Sicherheitslücke im Cloud SDK für Python, die OAuth2-Client-Credentials an einen vom Angreifer kontrollierten Server umleiten kann. Betroffen sind Multi-Tenant-Anwendungen auf der SAP Business Technology Platform, wenn sie den Tenant-Subdomain-Wert an das SDK übergeben. Die Korrektur steckt laut Advisory in Version 0.45.2, während mehrere spätere Releases die Validierung in bestimmten Token-Pfaden zeitweise nicht aktiv hatten. Offiziell ist die Lücke als CVE-2026-89111 erfasst.
Mehr als ein Patch-Schattendasein: SAP beschreibt eine Sicherheitslücke im Cloud SDK für Python, die wegen ihres Schadenspotenzials mit CVSS 10,0 bewertet wird. Der Kern liegt nicht in einem schwachen Verschlüsselungsmechanismus, sondern in der Art, wie das SDK OAuth2-Token für Multi-Tenant-Instanzen anfordert. Wenn eine Anwendung eine Tenant-Subdomain als Eingabe an das SDK reicht, nutzt die Bibliothek diese Information, um Teile einer Token-URL zu ersetzen. In fehlerhaften Versionen konnte dabei ein Wert so durchgeroutet werden, dass das SDK Client-ID und Client-Secret an einen Endpunkt sendet, den ein Angreifer kontrolliert.
Technisch wird die Schwäche als Server-Side Request Forgery (SSRF) eingeordnet. Die Voraussetzung ist dabei konkret: Ein Angreifer muss die Kontrolle über die Tenant-Subdomain erlangen. Das ist besonders relevant, weil SAP für die betroffenen Szenarien von Multi-Tenant-Anwendungen auf der SAP Business Technology Platform (BTP) ausgeht, die das SDK für die Authentifizierung gegenüber BTP-Diensten verwenden. Dann übernimmt das SDK die Token-Anfrage, indem es die vom Entwickler konfigurierte Token-URL nimmt und sie mit der übergebenen Subdomain zusammensetzt. Stimmen die Validierungsregeln nicht durchgängig, landet die Anfrage nicht beim vorgesehenen Token-Host.
SAP führt die Lücke unter der Kennung CVE-2026-89111. Als Fix nennt SAP Version 0.45.2; dort wird laut Advisory eine Prüfung ergänzt, die nur einen einfachen Tenant-Namen akzeptiert. Zulässig sind demnach Buchstaben, Ziffern und Bindestriche, mit einer Länge von bis zu 63 Zeichen. Werte außerhalb dieses Schemas sollen nicht mehr „still“ in eine manipulierte URL überführt werden, sondern das SDK bricht die Verarbeitung mit einem Fehler ab. Genau diese Validierung ist jedoch nicht in jeder späteren Veröffentlichung im relevanten Ausführungspfad durchgängig enthalten gewesen, wodurch die Sicherheit je nach konkreter Nutzungslinie variieren kann.
In den Versionen 0.53.0 bis 0.55.0 zeigt sich ein besonders heikler Randfall: Die Validierung fehlt nach Angaben der Untersuchung für den Destination-Dienst, wenn Token darüber angefordert werden. Der Grund liegt demnach in einer Code-Änderung: Mit 0.53.0 wurde das Token-Anforderungsmodul in neuen gemeinsam genutzten Code verschoben, der die Tenant-Subdomain-Prüfung noch nicht enthielt. Erst Version 0.55.1 übernimmt die Prüfung wieder vollständig, weil sie dem neuen gemeinsamen Pfad hinzugefügt wurde. SAPs Release Notes für 0.55.1 beschreiben zudem, dass Tenant-Subdomains mit URL-„Delimitern“ nicht mehr unbemerkt weiterverarbeitet werden, sondern unmittelbar mit einem Fehler stoppen.
Damit verschiebt sich die Blickrichtung von „ein Patch, fertig“ hin zu „Patch-Pfand je nach Pfad“. Die untersuchte Versionenfolge zeigt: Während 0.45.2 bis 0.52.2 sowie 0.55.1 bis 0.58.4 die Prüfung in den getesteten Fällen korrekt enthalten, bleiben bestimmte Releases ohne Validierung im spezifischen Destination-Tokenfluss (und teils auch für den Document-Management-Service in 0.55.0). Auffällig ist außerdem, dass die Prüfung auf der älteren 0.36-Linie ebenfalls fehlt: 0.36.1 und 0.36.2 erschienen nach dem August-Fix und schneiden in den gleichen Tests für die Validierung ebenfalls schlecht ab. SAPs Advisory nennt dabei die betroffene Versionenbandbreite unterhalb von 0.45.2; zugleich lässt das Dokument offen, ob die späteren sechs Releases exakt unter dieselbe CVE-Einordnung fallen.
Für die Praxis formuliert SAP als Handlungsempfehlung klare Leitplanken: Wer bereits auf Versionen 0.45.2 bis 0.52.2 oder 0.55.1 bis 0.58.4 ist, hat die Tenant-Subdomain-Prüfung dem beschriebenen Funktionsumfang nach aktiviert. Wer noch nicht upgraden kann, soll die übergebene Tenant-Subdomain gegen eine Liste der registrierten Tenants abgleichen, bevor der Wert an das SDK übergeben wird. Wichtig ist zudem die Kopplung an den konkreten Integrationspunkt: Die Lücke wirkt nur dort, wo Anwendungen tatsächlich eine Tenant-Subdomain an das SDK weiterreichen. SAP betont außerdem, dass die August-Korrektur sich auf drei Module bezog: Agent Gateway, Destination und Document Management Service.
Historisch ordnet SAP die Schwachstelle so ein, dass die fehlerhafte Logik bereits ab der ersten PyPI-Veröffentlichung des SDK enthalten gewesen sein soll und die Korrektur im August zunächst als Bug Fix in den Release Notes auftauchte, ohne dass das Thema Security prominent erwähnt wurde. Die Offenlegung erfolgte 53 Tage später; SAP verweist dabei auf einen GitHub-User namens SunandM und berichtet zugleich über keine bekannten Angriffe. Für Unternehmen bedeutet das vor allem: Die Risikobewertung sollte nicht nur auf die CVE-Nummer schauen, sondern auf den konkreten SDK-Einsatzpfad und die Versionenkomposition in der eigenen Softwarelieferkette. In Umgebungen, in denen OAuth2 Client Credentials zentral verwaltet werden, kann die Auswirkung besonders stark sein, weil ein kompromittierter Token-Endpunkt direkt die Identitätsdaten des Dienstkontos betrifft.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SAP: CVSS-10-Sicherheitslücke in Python-Cloud-SDK ermöglicht OAuth-Diebstahl" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SAP: CVSS-10-Sicherheitslücke in Python-Cloud-SDK ermöglicht OAuth-Diebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SAP: CVSS-10-Sicherheitslücke in Python-Cloud-SDK ermöglicht OAuth-Diebstahl« bei Google Deutschland suchen, bei Bing oder Google News!