SAP hat am 13. Oktober 2026 sap-cloud-sdk 0.45.2 veröffentlicht und damit eine Server-Side-Request-Forgery-Schwachstelle mit höchstem Schweregrad behoben. Über sie können OAuth2-Client-Anmeldedaten aus Mandanten-übergreifenden Anwendungen der SAP Business Technology Platform offengelegt werden.
Die Lücke wird als CVE-2026-89111 und GHSA-4mv3-jxxm-9cx2 geführt und betrifft jede Version des SAP Cloud SDK für Python vor 0.45.2. SAP hat am 13. Oktober 2026 einen GitHub-Sicherheitshinweis veröffentlicht und die Meldung der Schwachstelle SunandM zugeschrieben.
Vom Angreifer kontrollierte Mandantendaten können Token-Anfragen umleiten
CVE-2026-89111 ist eine OAuth2-SSRF-Schwachstelle, die als CWE-918 klassifiziert ist. Sie entsteht, wenn ein Angreifer den Parameter tenant_subdomain steuern kann, den eine Mandanten-übergreifende BTP-Anwendung verwendet.
Das verwundbare SDK kann diesen Wert in die URL einsetzen, die für eine OAuth2-Token-Anfrage genutzt wird. Ein böswilliger Wert kann die Anfrage daher an einen vom Angreifer kontrollierten Server leiten, wodurch die während des Austauschs übermittelten Client-Anmeldedaten offengelegt werden.
Der CVSS-v3.1-Vektor von SAP lautet:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Dies beschreibt einen netzwerkbasierten Angriff, für den weder Berechtigungen noch Benutzerinteraktion nötig sind. Die CNA-Bewertung von SAP, die auch GitHub anzeigt, vergibt einen Score von 10,0 (kritisch) mit hohen Auswirkungen auf Vertraulichkeit und Integrität, aber ohne Auswirkungen auf die Verfügbarkeit. Der NVD-Eintrag enthielt am 13. Oktober 2026 noch keinen eigenen NIST-Score.
Auf sap-cloud-sdk 0.45.2 aktualisieren
Organisationen, die betroffene BTP-Anwendungen betreiben, sollten das Python-Paket auf Version 0.45.2 oder neuer aktualisieren. Die korrigierte Version prüft tenant_subdomain gegen die Anforderungen an DNS-Labels nach RFC 1123, bevor der Wert in eine Token-URL eingesetzt wird.
Ist ein sofortiges Update nicht möglich, rät SAP Consumer-Anwendungen, tenant_subdomain gegen eine Allowlist mit registrierten Tenant-Subdomains zu validieren. Diese Prüfung muss erfolgen, bevor der Wert an einen SDK-Aufruf übergeben wird.
Teams sollten bereitgestellte Anwendungen und fixierte Abhängigkeiten berücksichtigen und nicht nur Entwicklungsumgebungen prüfen: Jede Anwendung, auf der sap-cloud-sdk vor 0.45.2 läuft, bleibt im betroffenen Bereich.
Zwei weitere kritische Schwachstellen im Oktober-Release von SAP
Das Sicherheitsrelease von SAP vom 13. Oktober 2026 umfasst 20 Schwachstellen in verschiedenen Produkten. Zwei weitere kritische Probleme bergen erhebliche Risiken einer Systemkompromittierung:
- CVE-2026-89110 ist eine fehlerhafte Zugriffskontrolle in SAP NetWeaver Visual Composer. Ein Angreifer mit geringen Rechten kann interne Operationen auf einem vorkonfigurierten Remote-System aufrufen. Je nach Konfiguration dieser Verbindung könnte die Ausnutzung das Remote-System vollständig kompromittieren. Die Schwachstelle hat einen CVSS-Score von 9,9 und ist als CWE-749 klassifiziert.
- CVE-2026-89108 betrifft die Administrationsfunktionen in SAP Manufacturing Integration and Intelligence. Ein Angreifer, der bereits MII-Administratorrechte besitzt, kann eine manipulierte Anfrage senden, die ein erweitertes Konto auf dem zugrunde liegenden Java-Anwendungsserver anlegt. Dadurch könnte er möglicherweise administrative Kontrolle über die verwundbare Anwendung hinaus erlangen. Die Schwachstelle hat einen CVSS-Score von 9,1 und ist als CWE-862 klassifiziert.
Für Python-basierte Mehrmandanten-Deployments in BTP gilt daher sofort: auf sap-cloud-sdk 0.45.2 umstellen oder, bis das Update installiert werden kann, die von SAP vorgeschlagene Workaround-Lösung mit einer Allowlist für Tenant-Subdomains erzwingen.
