Una reciente divulgación de SAP ha puesto en alerta a las organizaciones que utilizan su Cloud SDK para Python. Se ha identificado una vulnerabilidad crítica, con una puntuación CVSS de 10.0 sobre 10, que podría permitir el robo de credenciales de cliente OAuth2. Esta falla afecta específicamente a las aplicaciones multi-tenant desplegadas en la SAP Business Technology Platform (BTP) que hacen uso de dicho SDK, si un atacante logra controlar el subdominio del tenant.
La vulnerabilidad, rastreada como CVE-2026-89111, es clasificada como un tipo de Server-Side Request Forgery (SSRF). El mecanismo de la falla radica en que el SDK, al procesar una solicitud para un token de acceso, construye una URL utilizando un subdominio de tenant que le es proporcionado por la aplicación. Sin una validación adecuada, un atacante podría manipular este subdominio para redirigir la solicitud de credenciales (ID de cliente y secreto) a un servidor bajo su control, comprometiendo así información sensible. Las versiones afectadas incluyen las anteriores a 0.45.2 (como 0.36.1 y 0.36.2) y, de forma intermitente, las versiones 0.53.0 a 0.55.0, donde la falla se reintrodujo para llamadas a módulos específicos como el servicio de Destino y Document Management Service.
SAP ha respondido con la liberación de parches. La corrección inicial se implementó en la versión 0.45.2, pero la vulnerabilidad se reintrodujo inadvertidamente en algunas de las versiones subsiguientes antes de ser corregida de manera definitiva en la versión 0.55.1. Se recomienda encarecidamente a los usuarios del SDK de SAP Cloud para Python que actualicen sus entornos a las versiones seguras: 0.45.2 a 0.52.2 o 0.55.1 y posteriores (la 0.58.4 era la más reciente al momento de la publicación). Para aquellas aplicaciones que no puedan actualizar de inmediato, SAP sugiere implementar una validación en la aplicación para comparar el subdominio del tenant con una lista de tenants registrados antes de pasarlo al SDK. Además, aunque el aviso no lo especifica, es una buena práctica rotar las credenciales de cliente OAuth2 si existe la posibilidad de que hayan sido expuestas.
Qué significa para tu empresa: La aparición de vulnerabilidades críticas como esta subraya la importancia de una gestión proactiva de la seguridad de las aplicaciones y las infraestructuras en la nube. Un incidente de robo de credenciales puede tener consecuencias graves, desde el acceso no autorizado a sistemas y datos hasta la interrupción de servicios críticos. Para mitigar estos riesgos, es fundamental contar con un SOC con monitoreo 24/7 que permita detectar y responder rápidamente a cualquier actividad anómala o indicio de explotación. Este monitoreo constante, complementado con una robusta analítica de logs, es clave para identificar patrones de ataque, validar la integridad de las aplicaciones y asegurar que las mitigaciones sean efectivas antes de que una vulnerabilidad se convierta en una brecha de seguridad.
Fuente original: The Hacker News — ver artículo →