Nuove informazioni rivelano che alcune versioni del SAP Cloud SDK per Python, precedentemente corrette per la vulnerabilità CVE-2026-89111, sono state accidentalmente reintrodotte. Le organizzazioni devono verificare le versioni e rigenerare le credenziali.
Le recenti analisi sulla vulnerabilità CVE-2026-89111, che affligge il SAP Cloud SDK per Python, hanno portato alla luce dettagli cruciali riguardanti le versioni interessate e le problematiche di regressione. L'advisory di SAP del 13 ottobre 2026 ha confermato la gravità di questa falla, classificata con un punteggio CVSS 10.0/10, e ha fornito un quadro più preciso delle versioni del SDK che necessitano di attenzione immediata.
La vulnerabilità originale, identificata come una Server-Side Request Forgery (SSRF), permetteva a un attaccante di manipolare il parametro tenant_subdomain. Sfruttando questa debolezza, un aggressore poteva reindirizzare le richieste di token OAuth2 verso un server sotto il suo controllo, con l'obiettivo di esfiltrare client ID e client secret. Questo scenario rappresentava un rischio significativo per le applicazioni multi-tenant ospitate sulla SAP Business Technology Platform (BTP), poiché le credenziali compromesse potevano consentire l'accesso non autorizzato a dati aziendali sensibili, la creazione di nuovi servizi o persino l'escalation verso altri sistemi integrati.
Le nuove informazioni emerse dall'advisory di ottobre 2026 hanno chiarito quali versioni del SAP Cloud SDK per Python sono effettivamente protette e quali, invece, hanno subito una regressione nella sicurezza. Inizialmente, la versione 0.45.2 aveva introdotto un controllo sul parametro tenant_subdomain, accettando solo nomi composti da lettere, cifre e trattini, con una lunghezza massima di 63 caratteri. Qualsiasi carattere non valido, come delimitatori URL, avrebbe dovuto generare un ValueError, interrompendo la richiesta.
Tuttavia, le versioni rilasciate tra il 4 e il 18 settembre 2026, nello specifico 0.36.1‑0.36.2 e 0.53.0‑0.55.0, hanno inavvertitamente rimosso questo controllo di sicurezza nel modulo Destination, rendendo nuovamente possibile lo sfruttamento della vulnerabilità SSRF. Solo con il rilascio della versione 0.55.1 in data 18 settembre 2026, il controllo è stato reintrodotto e applicato correttamente a tutti i moduli interessati, inclusi Agent Gateway, Destination e Document Management Service. Le versioni successive, fino alla 0.58.4, sono state verificate e risultano sicure.
L'advisory di SAP del 13 ottobre 2026 ha affrontato un totale di 22 nuove note di sicurezza, di cui quattro riguardanti vulnerabilità critiche. Oltre a CVE-2026-89111, sono state corrette altre falle significative:
Queste si aggiungono a vulnerabilità di alto profilo già note, come la CVE-2026-58231 su Commerce Cloud, già attivamente sfruttata, e la CVE-2026-44756 (OVERPASS) sul kernel SAP, che ha potenzialmente esposto migliaia di sistemi.
Per mitigare i rischi associati a CVE-2026-89111 e alle sue regressioni, le organizzazioni dovrebbero intraprendere le seguenti azioni:
tenant_subdomain nei pipeline CI/CD per garantire che rispetti il pattern consentito prima di ogni deploy.La gestione proattiva delle vulnerabilità, unita a un rigoroso patching e a controlli di configurazione, rimane la strategia più efficace per proteggere le infrastrutture SAP dalle minacce informatiche in continua evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.