SAP cảnh báo lỗ hổng nghiêm trọng CVSS 10 trong Cloud SDK for Python

SAP vừa phát đi cảnh báo bảo mật về một lỗ hổng nghiêm trọng (được định danh là CVE-2026-89111) tồn tại trong SAP Cloud SDK for Python. Lỗ hổng này đạt mức điểm tối đa CVSS 10.0, cho phép kẻ tấn công đánh cắp thông tin xác thực OAuth2 của ứng dụng bằng cách điều hướng các yêu cầu đến một máy chủ do chúng kiểm soát.

Chi tiết về lỗ hổng

Vấn đề nằm ở cách SDK xử lý các “tenant subdomain” (tên miền phụ của khách thuê). Trong các ứng dụng đa người dùng (multi-tenant) chạy trên SAP Business Technology Platform (BTP), kẻ tấn công có thể lợi dụng việc SDK không kiểm soát chặt chẽ đầu vào để chèn các ký tự đặc biệt. Thay vì gửi yêu cầu xác thực đến máy chủ hợp lệ, SDK sẽ vô tình gửi client ID và client secret của ứng dụng đến một endpoint do kẻ tấn công thiết lập.

SAP phân loại đây là một dạng tấn công Server-Side Request Forgery (SSRF). Mức độ nguy hiểm của việc lộ thông tin xác thực phụ thuộc vào quyền hạn mà client của ứng dụng đó đang sở hữu.

Các phiên bản bị ảnh hưởng

Lỗ hổng này đã được SAP nỗ lực vá lỗi từ phiên bản 0.45.2 (phát hành ngày 21/8/2026). Tuy nhiên, các phân tích kỹ thuật cho thấy một số phiên bản phát hành sau đó (từ 0.53.0 đến 0.55.0) đã vô tình bỏ sót cơ chế kiểm tra này trong một số module nhất định, đặc biệt là khi gọi dịch vụ Destination hoặc Document Management Service.

Người dùng cần lưu ý:

• Phiên bản an toàn: Các bản phát hành từ 0.55.1 trở đi đã được bổ sung cơ chế kiểm tra chặt chẽ, từ chối các tenant subdomain chứa ký tự lạ (URL delimiters) và trả về lỗi thay vì thực hiện yêu cầu.
• Các phiên bản cũ: Các dòng phiên bản 0.36.x và các bản dưới 0.45.2 đều không có cơ chế bảo vệ này.

Khuyến nghị từ SAP

SAP khuyến cáo các nhà phát triển đang sử dụng SAP Cloud SDK for Python cần thực hiện các bước sau:

• Cập nhật ngay lập tức: Nâng cấp lên phiên bản mới nhất (0.58.4 hoặc cao hơn) để đảm bảo các bản vá đã được áp dụng đầy đủ.
• Giải pháp tạm thời: Đối với các ứng dụng chưa thể nâng cấp ngay, nhà phát triển nên chủ động so sánh tenant subdomain với danh sách các khách thuê đã đăng ký trước khi truyền dữ liệu vào SDK.

Hiện tại, chưa có báo cáo nào về việc lỗ hổng này bị khai thác trong thực tế. Lỗ hổng được phát hiện và báo cáo bởi một người dùng GitHub có tên SunandM.

Nguồn tham khảo: The Hacker News