Eine kritische Schwachstelle im SAP Cloud SDK für Python könnte es Angreifern ermöglichen, Zugangsdaten von Anwendungen zu stehlen und dadurch möglicherweise verbundene Cloud-Dienste von Unternehmen offenzulegen. Die Lücke betrifft bestimmte mandantenfähige Anwendungen, die auf der SAP Business Technology Platform (BTP) ausgeführt werden.
SAP veröffentlichte die als CVE-2026-89111 geführte Schwachstelle am 13. Oktober 2026 und bewertete sie mit dem maximalen CVSS-Wert von 10,0. Die Schwachstelle durch serverseitige Request-Forgery (SSRF) könnte OAuth2-Authentifizierungsanfragen an von Angreifern kontrollierte Server umleiten und dadurch Zugangsdaten von Anwendungen offenlegen.
Obwohl SAP Version 0.45.2 als Fehlerbehebung angibt, ergaben unabhängige Tests fehlende Validierungen in bestimmten Authentifizierungspfaden über sechs spätere Versionen hinweg. Unternehmen, die ihre Anwendungen bereits aktualisiert haben, benötigen möglicherweise zusätzliche Fehlerbehebungen.
Wie die Lücke im SAP Cloud SDK Zugangsdaten offenlegt
Die als CWE-918 klassifizierte Schwachstelle betrifft eine unzureichende Validierung des tenant_subdomainParameters, der zum Erstellen von OAuth2-Authentifizierungs-URLs verwendet wird.
Laut Sicherheitsmitteilung von SAP könnten Angreifer, die diesen Parameter kontrollieren, Anfragen mit der Client-ID und dem Geheimnis einer Anwendung an einen bösartigen Server umleiten. Gestohlene Zugangsdaten könnten je nach Berechtigungen der Anwendung Zugriff auf verbundene Dienste ermöglichen.
Zu weiteren Schwachstellen bei Cloud-Identitäten gehören das Spoofing von OAuth-Client-IDs zur Kontoaufzählung und die Offenlegung von OAuth-Tokens durch Browsererweiterungen. Diese beruhen auf anderen Angriffsmethoden und stehen nicht mit der SAP-Schwachstelle in Verbindung.
Für eine Ausnutzung muss ein Angreifer den an eine verwundbare SDK-Funktion übergebenen Wert der Tenant-Subdomain beeinflussen. In den bis zum 14. Oktober 2026 geprüften öffentlichen Berichten wurde keine bestätigte Ausnutzung von CVE-2026-89111 festgestellt.
Die Lücke war das Problem mit dem höchsten Bewertungswert in SAPs Sicherheitsupdates vom Oktober 2026, die 16 neue Sicherheitsnotizen und vier GitHub-Advisories umfassten.
Fehlerbehebungen und betroffene Versionen des SAP Cloud SDK
SAP stuft SDK-Versionen vor 0.45.2 als betroffen ein. Die am 21. August 2026 veröffentlichte Version 0.45.2 führte eine Validierung von DNS-Labels nach RFC 1123 ein, um unsichere Werte von Tenant-Subdomains in Authentifizierungs-URLs zu beschränken.
Allerdings ergaben Tests von The Hacker News fehlende Validierungen in den Versionen 0.53.0 bis 0.55.0, wodurch bestimmte Authentifizierungspfade des Destination Service betroffen waren. Alle sechs Versionen scheiterten bei neun der elf Validierungstests von SAP.
Ein zusätzlicher Schutz wurde in Version 0.55.1 eingeführt. Eine separate Änderung in Version 0.58.3 behob ein weiteres Problem mit der Injektion von Tenant-Token-URLs. SAP hat die sechs Zwischenversionen nicht formell als von CVE-2026-89111 betroffen eingestuft.
Unternehmen sollten diese Maßnahmen priorisieren:
- Betroffene Installationen identifizieren: Abhängigkeiten erfassen
sap-cloud-sdkund auf Versionen vor 0.45.2 sowie die Versionen 0.53.0–0.55.0 prüfen. - Updates einspielen und Fehlerbehebungen testen: Auf eine aktuelle korrigierte Version aktualisieren und testen, ob bösartige Tenant-Werte Authentifizierungsanfragen umleiten können.
- Authentifizierungsdatenverkehr beschränken: Registrierte Tenant-Subdomains auf eine Positivliste setzen und OAuth2-Anfragen auf freigegebene Endpunkte von Identitätsanbietern beschränken.
- Sicherheit von Zugangsdaten stärken: Das Prinzip der geringsten Rechte durchsetzen, Geheimnisse von Anwendungen schützen und Verfahren zur regelmäßigen Erneuerung von Zugangsdaten unterhalten.
- Auf verdächtige Aktivitäten untersuchen: Authentifizierungs- und ausgehende Verbindungsprotokolle prüfen. Zugangsdaten widerrufen und erneuern, wenn eine Offenlegung vermutet wird.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen: Verfahren zum Widerrufen von Zugangsdaten, zur Untersuchung, Eindämmung und Wiederherstellung von Anwendungen durchspielen.
Ein separater Kompromittierungsfall einer Coder-Registry mit bösartigen Terraform-Modulen veranschaulicht, wie auch Entwicklungsinfrastrukturen Cloud-Zugangsdaten offenlegen können, obwohl sich der Angriffsmechanismus von dieser Lücke unterscheidet.
SAP empfiehlt, Tenant-Subdomains auf eine Positivliste zu setzen, wenn eine sofortige Installation des Patches nicht möglich ist. Unternehmen sollten SDK-Versionen und Authentifizierungspfade überprüfen und zugleich Kontrollen durchsetzen, die die Offenlegung von Zugangsdaten begrenzen.
Mehr dazu: Angriffe auf LiteLLM- und MCP-Infrastruktur zeigen, wie verwundbare KI-Integrationen Cloud-Zugangsdaten und verbundene Dienste gefährden können.