Une vulnérabilité critique de SAP Cloud SDK for Python pourrait permettre à des attaquants de dérober des identifiants d’application et, potentiellement, d’exposer des services cloud d’entreprise connectés. La faille affecte certaines applications multitenant exécutées sur SAP Business Technology Platform (BTP).
SAP a divulgué la vulnérabilité, suivie sous l’identifiant CVE-2026-89111, le 13 octobre 2026, en lui attribuant le score CVSS maximal de 10,0. Cette faille de falsification de requête côté serveur (SSRF) pourrait rediriger des requêtes d’authentification OAuth2 vers des serveurs contrôlés par des attaquants et exposer des identifiants d’application.
Bien que SAP identifie la version 0.45.2 comme le correctif, des tests indépendants ont révélé une validation manquante dans certains chemins d’authentification de six versions ultérieures. Les entreprises ayant déjà mis à jour leurs applications pourraient devoir appliquer des correctifs supplémentaires.
Comment la faille de SAP Cloud SDK expose les identifiants
La vulnérabilité, classée CWE-918, implique une validation insuffisante dutenant_subdomain paramètre utilisé pour construire les URL d’authentification OAuth2.
Selon l’avis de sécurité de SAP, les attaquants qui contrôlent ce paramètre pourraient rediriger vers un serveur malveillant les requêtes contenant l’identifiant et le secret client d’une application. Les identifiants dérobés pourraient donner accès aux services connectés, selon les autorisations de l’application.
Parmi les autres faiblesses liées aux identités cloud figurent l’usurpation de l’identifiant client OAuth utilisée pour énumérer les comptes et l’exposition de jetons OAuth par des extensions de navigateur. Ces faiblesses reposent sur des méthodes d’attaque différentes et ne sont pas liées à la vulnérabilité de SAP.
L’exploitation nécessite qu’un attaquant influence la valeur du sous-domaine du tenant transmise à une fonction vulnérable du SDK. Aucune exploitation confirmée de CVE-2026-89111 n’avait été identifiée dans les informations publiques examinées au 14 octobre 2026.
La faille était le problème ayant obtenu le score le plus élevé dans les mises à jour de sécurité de SAP d’octobre 2026, qui comprenaient 16 nouvelles notes de sécurité et quatre avis GitHub.
Correctifs de SAP Cloud SDK et versions concernées
SAP indique que les versions du SDK antérieures à 0.45.2 sont concernées. Publiée le 21 août 2026, la version 0.45.2 a introduit une validation des libellés DNS conforme à la RFC 1123 afin de restreindre les valeurs dangereuses de sous-domaine du tenant dans les URL d’authentification.
Cependant, des tests menés par The Hacker News ont révélé une validation manquante dans les versions 0.53.0 à 0.55.0, affectant certains chemins d’authentification du service Destination. Les six versions ont échoué à neuf des 11 tests de validation de SAP.
Une protection supplémentaire a été ajoutée dans la version 0.55.1. Une modification distincte dans la version 0.58.3 a corrigé un autre problème d’injection d’URL de jeton de tenant. SAP n’a pas officiellement classé les six versions intermédiaires comme étant affectées par CVE-2026-89111.
Les entreprises doivent donner la priorité aux mesures suivantes :
- Identifier les installations concernées : Inventorier les
sap-cloud-sdkdépendances et vérifier les versions antérieures à 0.45.2 ainsi que les versions 0.53.0–0.55.0. - Appliquer les mises à jour et tester les correctifs : Mettre à niveau vers une version corrigée récente et vérifier si des valeurs de tenant malveillantes peuvent rediriger les requêtes d’authentification.
- Restreindre le trafic d’authentification : Autoriser uniquement les sous-domaines de tenant enregistrés et limiter les requêtes OAuth2 aux points de terminaison des fournisseurs d’identité approuvés.
- Renforcer la sécurité des identifiants : Appliquer le principe du moindre privilège, protéger les secrets d’application et maintenir des procédures de rotation des identifiants.
- Rechercher les activités suspectes : Examiner les journaux d’authentification et de connexions sortantes. Révoquer et renouveler les identifiants en cas de suspicion d’exposition.
- Tester les plans de réponse aux incidents : Mettre en pratique les procédures de révocation des identifiants, d’enquête, de confinement et de restauration des applications.
Une compromission du registre Coder impliquant des modules Terraform malveillants montre également comment l’infrastructure de développement peut exposer des identifiants cloud, même si son mécanisme d’attaque diffère de celui de cette faille.
SAP recommande d’autoriser uniquement les sous-domaines de tenant enregistrés lorsqu’il est impossible d’appliquer immédiatement le correctif. Les entreprises doivent vérifier les versions du SDK et les chemins d’authentification, tout en appliquant des contrôles limitant l’exposition des identifiants.
En savoir plus : Les attaques visant l’infrastructure LiteLLM et MCP montrent comment des intégrations d’IA vulnérables peuvent mettre en danger les identifiants cloud et les services connectés.