SAP hat die kritische Schwachstelle CVE-2026-89111 mit der maximalen Bewertung CVSS 10.0 im eigenen Cloud SDK for Python offengelegt – dem offiziellen Python-Client für Dienste der SAP Business Technology Platform (BTP). Laut dem Sicherheitshinweis ermöglicht die Schwachstelle einem Angreifer, der den Parameter tenant_subdomain kontrolliert, OAuth2-Anfragen auf einen von ihm kontrollierten Server umzuleiten und dabei die Client-Zugangsdaten (client ID und client secret) von Multi-Tenant-Anwendungen abzufangen. Betroffen sind Versionen des Pakets sap-cloud-sdk unterhalb von 0.45.2. Ein Fix ist verfügbar – ein Update auf Version 0.45.2 oder höher.
Mechanismus der Schwachstelle
Die Schwachstelle ist als CWE-918 (Server-Side Request Forgery, SSRF) klassifiziert. Wenn eine Multi-Tenant-Anwendung auf SAP BTP dem SDK den Wert tenant_subdomain übergibt, setzt das SDK diesen in die URL zum Abrufen des OAuth2-Tokens ein. In den verwundbaren Versionen akzeptierte das SDK beliebige Werte ohne Validierung – einschließlich Zeichenfolgen mit URL-Trennzeichen. Ein Angreifer, der diesen Parameter kontrollieren konnte, war in der Lage, einen Wert zu konstruieren, der die Anfrage auf seinen eigenen Server umleitet, an den das SDK dann die Client-Zugangsdaten der Anwendung sendete.
Der Fix in Version 0.45.2 fügte eine Validierung von tenant_subdomain nach den Regeln von RFC 1123 für DNS-Labels hinzu: Es sind nur Buchstaben, Ziffern und Bindestriche mit einer Länge von bis zu 63 Zeichen zulässig. Ungültige Werte führen nun zu einem ValueError. Die Prüfung wurde in drei Modulen ergänzt: Agent Gateway, Destination und Document Management Service.
Betroffene Versionen und Besonderheiten des Patches
Der offizielle SAP-Sicherheitshinweis führt alle Versionen unterhalb von 0.45.2 als betroffen und Version 0.45.2 als behoben auf. Laut The Hacker News, die den Quellcode mit Hilfe der von SAP bereitgestellten Tests geprüft haben, ist die Lage jedoch komplexer. Den Berichten zufolge enthalten die Versionen 0.53.0 bis 0.55.0 keine Prüfung im Modul Destination – beim Refactoring in Version 0.53.0 wurde der Code zur Token-Verarbeitung in die neue gemeinsame Komponente XsuaaAuthProvider verschoben, in die die Validierung nicht übernommen wurde. Ebenfalls diesen Berichten zufolge haben diese Versionen 9 von 11 Validierungstests nicht bestanden, die SAP in Version 0.55.1 hinzugefügt hat.
Außerdem wird berichtet, dass die Versionen 0.36.1 und 0.36.2, die bereits nach dem August-Fix veröffentlicht wurden, ebenfalls keine Prüfung enthalten. Wichtig: Der offizielle SAP-Sicherheitshinweis führt zum Zeitpunkt der Veröffentlichung keine Versionen oberhalb von 0.45.2 als betroffen auf, und die Frage, ob CVE-2026-89111 auf diese späteren Releases anwendbar ist, bleibt offen.
Damit enthalten nach aktuellem Kenntnisstand eine Validierung folgende Versionen:
- Versionen von 0.45.2 bis 0.52.2
- Versionen von 0.55.1 bis 0.58.4 (das letzte Release zum Zeitpunkt der Offenlegung)
Keine der drei Versionen der 0.36er-Reihe enthält eine Validierung, und ein Update innerhalb dieser Reihe behebt das Problem nicht.
Bewertung der Auswirkungen
Die Schwachstelle betrifft nicht alle SDK-Installationen, sondern nur Multi-Tenant-Anwendungen auf SAP BTP, die einen Wert für tenant_subdomain an das SDK übergeben – konkret über die Module Destination, Agent Gateway und Document Management Service. Anwendungen, die diese Pfade nicht nutzen, sind von dieser Schwachstelle nicht betroffen.
Die Folgen einer Ausnutzung hängen von den Rechten der kompromittierten Client-Zugangsdaten ab. Der SAP-Sicherheitshinweis nennt keine konkreten Szenarien, aber das Abfangen von OAuth2-Zugangsdaten eröffnet potenziell Zugriff auf alle Ressourcen, für die der Client der Anwendung autorisiert ist. Eine aktive Ausnutzung der Schwachstelle ist derzeit nicht bestätigt, die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
SAP war bereits mehrfach mit kritischen Schwachstellen in seinen Cloud-Produkten konfrontiert – zuvor haben wir über eine CVSS-10.0-Schwachstelle in Commerce Cloud berichtet.
Empfehlungen
- Aktualisieren Sie das SDK auf Version 0.55.1 oder höher (empfohlen wird 0.58.4). Die Versionen 0.45.2–0.52.2 enthalten zwar ebenfalls eine Prüfung, decken jedoch nicht den Pfad über XsuaaAuthProvider ab, der in 0.53.0 eingeführt wurde.
- Wenn ein Update nicht möglich ist, empfiehlt SAP, tenant_subdomain anhand einer Liste registrierter Tenants zu validieren, bevor der Wert an das SDK übergeben wird.
- Prüfen Sie die verwendete Version: Wenn die Anwendung auf den Versionen 0.53.0–0.55.0 läuft und das Modul Destination verwendet, ist ein Update kritisch wichtig, auch wenn diese Versionen im offiziellen Sicherheitshinweis formal nicht als betroffen genannt werden.
- Bewerten Sie die Notwendigkeit einer Rotation der Zugangsdaten: Der SAP-Sicherheitshinweis gibt nicht an, ob Anwendungen, die auf verwundbaren Versionen liefen, ihre Client-Zugangsdaten austauschen sollten. Für Anwendungen, die externe Tenant-Daten verarbeiten, ist eine Rotation der Zugangsdaten eine sinnvolle Vorsichtsmaßnahme.
Die Schwachstelle war seit dem ersten Release des SDK auf PyPI im März vorhanden, wurde im August stillschweigend als „Bug Fix“ ohne Hinweis auf Sicherheit behoben, und der Sicherheitshinweis erschien erst 53 Tage später. Organisationen, die Multi-Tenant-Anwendungen auf SAP BTP mit Cloud SDK for Python einsetzen, sollten umgehend die SDK-Version prüfen und auf 0.55.1 oder höher aktualisieren und, falls ein Update nicht möglich ist, eine Validierung von tenant_subdomain anhand einer Positivliste registrierter Tenants implementieren.
