İçeriğe geç
Menü

SAP'nin Python geliştirme kitindeki en yüksek puanlı açık, uygulamaların erişim bilgilerini saldırgana yönlendirebiliyor

SAP'nin Ekim güncellemesinde kapatılan 20 açıktan biri CVSS 10 puan aldı. Açık, SAP BTP üzerindeki çok kiracılı uygulamaların OAuth2 erişim bilgilerinin saldırganın sunucusuna gönderilmesine yol açabiliyor.

Kırmızı Ekip
  • 2 dk okuma
  • 4 kaynak

Kısaca

  • SAP Cloud SDK for Python'daki CVE-2026-89111, 0.55.1 ve sonraki sürümlerde kapatıldı. Açığın saldırılarda kullanıldığına dair bir bilgi yok.
  • SAP'nin Ekim paketinde NetWeaver Visual Composer ve Manufacturing Integration and Intelligence'taki iki kritik açık da var.

SAP, 13 Ekim’deki aylık güvenlik güncellemesinde 20 açığı kapattı. En ciddisi, SAP’nin bulut platformu Business Technology Platform (BTP) üzerinde Python ile uygulama geliştirenlerin kullandığı SAP Cloud SDK for Python’daki CVE-2026-89111. Açık, CVSS ölçeğindeki en yüksek puan olan 10 aldı.

Açık bir sunucu taraflı istek sahteciliği (SSRF) açığı. Birden fazla müşteriye (kiracıya) hizmet veren uygulamalarda SDK, erişim belirteci (OAuth2 token) almak için kiracının alt alan adını kullanıyor. Bu değeri kontrol edebilen ve herhangi bir yetkisi olmayan bir saldırgan, isteğin SAP’nin sunucusu yerine kendi sunucusuna gitmesini sağlayabiliyor. Böylece uygulamanın OAuth2 istemci bilgileri saldırgana gidiyor ve bu bilgilerle uygulama adına işlem yapılabiliyor.

Haberlere göre SDK’nın 0.53.0 ile 0.55.0 arasındaki sürümleri, Destination hizmeti modülü kullanıldığında bu denetimi tutarlı şekilde yapmıyordu. 18 Eylül’de yayımlanan 0.55.1 sürümü, içinde adres ayırıcı karakterler bulunan alt alan adlarını reddederek denetimi geri getirdi. Açığın saldırılarda kullanıldığına dair bir bilgi yok.

SAP’nin bu ayki paketinde iki kritik açık daha var. NetWeaver Visual Composer’daki CVE-2026-89110, kısıtlı yetkilere sahip uzaktaki bir saldırganın sistemi tamamen ele geçirmesine izin veriyor. Manufacturing Integration and Intelligence’taki CVE-2026-89108 ise yönetici yetkisine sahip bir saldırganın Java uygulamasında yüksek yetkili bir hesap açarak alttaki sisteme hâkim olmasını sağlıyor.

Önerilen önlemler

SAP Cloud SDK for Python kullanan geliştiricilerin projelerindeki sürümü kontrol edip en az 0.55.1’e geçmesi gerekiyor. Güncelleme yapılana kadar, SDK’ya iletilmeden önce kiracı alt alan adının kayıtlı kiracılardan oluşan bir izin listesiyle karşılaştırılması öneriliyor. SAP kullanan kurumların, NetWeaver Visual Composer ve Manufacturing Integration and Intelligence dahil Ekim güvenlik notlarının tamamını gözden geçirmesi de yerinde olur.

Kaynaklar

Bu konuda