SAP, Ekim 2026 güvenlik güncellemelerinde birden fazla ürün genelindeki 20 güvenlik açığını giderdiğini söylüyor. Güncelleme, Cloud SDK for Python'daki CVE-2026-89111 olarak izlenen, en yüksek önem derecesine sahip bir sunucu tarafı istek sahteciliği (SSRF) açığını da içeriyor.
SAP Python SDK, şirketin SAP Business Technology Platform (BTP) hizmetlerinde yapay zekâ ajanları ve Python uygulamaları geliştirmek için sunduğu resmî araç takımıdır. SAP'nin duyurusuna göre, tenant_subdomain parametresini kontrol eden bir saldırgan OAuth2 belirteç isteklerini kendi kontrolündeki bir sunucuya yönlendirerek istemci kimlik bilgilerini açığa çıkarabilir. Açık, çok kiracılı BTP uygulamalarını etkiliyor ve uzaktan, herhangi bir ayrıcalık gerektirmeden kullanılabiliyor.
SAP, tüketici uygulamalarının SDK çağrısına aktarmadan önce tenant_subdomain değerini kayıtlı kiracı alt alan adlarından oluşan bir izin listesine göre doğrulamasını öneriyor. Ekim 2026 yamalarını hemen yükleyemeyen müşteriler bu yöntemle sorunu geçici olarak azaltabilir.
Güncellemeler ayrıca SAP NetWeaver Visual Composer'daki, sınırlı ayrıcalıklara sahip uzaktaki saldırganların savunmasız sistemleri ele geçirmesine yol açabilecek kritik bir bozuk erişim denetimi açığı olan CVE-2026-89110'u da gideriyor. Ayrı bir kritik açık, CVE-2026-89108, SAP Manufacturing Integration and Intelligence ürününü etkiliyor. Bu açık, yönetici ayrıcalıklarına sahip saldırganların Java uygulamasında yükseltilmiş ayrıcalıklı bir hesap oluşturarak temel sistemin denetimini ele geçirmesine imkân verebilir.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.