Bezpieczeństwo · 16 października 2026
SAP ostrzega przed luką bezpieczeństwa OAuth2 SSRF o maksymalnym stopniu krytyczności
Firma SAP naprawiła 20 luk w zabezpieczeniach w wielu swoich produktach w ramach aktualizacji z października 2026 roku. Jedna z tych podatności, zidentyfikowana jako CVE-2026-89111, posiada maksymalny stopień krytyczności i dotyczy Cloud SDK for Python.
Podatność ta pozwala zdalnym napastnikom bez żadnych uprawnień na kradzież poświadczeń. Luka typu OAuth2 SSRF wpływa na aplikacje wielodostępne w ramach SAP Business Technology Platform. Atakujący, który przejmie kontrolę nad parametrem tenant_subdomain, może przekierować żądania tokenów OAuth2 na serwer kontrolowany przez siebie, co prowadzi do wycieku poświadczeń klienta.
SAP Cloud SDK for Python służy jako oficjalny zestaw narzędzi programistycznych do tworzenia agentów sztucznej inteligencji oraz aplikacji w języku Python na usługach SAP Business Technology Platform. Klienci, którzy nie mogą natychmiast wdrożyć poprawek, mogą tymczasowo ograniczyć problem, stosując listę dozwolonych wartości w celu walidacji parametrów tenant_subdomain przed przekazaniem ich do wywołań zestawu SDK.
W ramach tych samych aktualizacji naprawiono również lukę CVE-2026-89110 w SAP NetWeaver Visual Composer. Jest to krytyczna podatność związana z przerwaniem kontroli dostępu, która mogłaby pozwolić zdalnym napastnikom z ograniczonymi uprawnieniami na całkowite przejęcie podatnych systemów. Kolejna krytyczna wada, CVE-2026-89108 w SAP Manufacturing Integration and Intelligence, umożliwia osobom z uprawnieniami administratora uzyskanie pełnej kontroli nad systemem poprzez utworzenie konta o podwyższonych uprawnieniach w aplikacji Java.
Wcześniej SAP naprawił inne poważne błędy, w tym lukę CVE-2026-58231 w platformie Commerce Cloud w sierpniu, która była aktywnie wykorzystywana w atakach. We wrześniu usunięto błąd korupcji pamięci CVE-2026-44756 w kodzie SAP Kernel, znany jako OVERPASS. Szacuje się, że ponad 10 000 systemów SAP dostępnych z internetu mogło być narażone na ataki wykorzystujące tę lukę.
Amerykańska agencja CISA dodała 14 luk bezpieczeństwa SAP do swojego katalogu podatności aktywnie wykorzystywanych od listopada 2021 roku. Trzy z tych luk zostały użyte w atakach typu ransomware.