SAP Cloud SDK for Python'da CVSS 10 Açığı: OAuth2 Kimlik Bilgileri Çalınabilir

SAP, 13 Ekim tarihli bir güvenlik danışma belgesiyle Python için Cloud SDK'sında (Software Development Kit) kritik bir güvenlik açığını kamuoyuyla paylaştı. CVSS puanı 10,0 olan açık, CVE-2026-89111 olarak kayıt altına alındı ve bu alanda verilebilecek en yüksek ciddiyet derecesini taşıyor. Açıktan etkilenen uygulamalar, OAuth2 istemci kimlik bilgilerini —istemci kimliği ve istemci parolasını— saldırganın denetimindeki bir sunucuya gönderebiliyor.

Açık Nasıl İşliyor?​

SAP Business Technology Platform (BTP) üzerinde çalışan çok kiracılı uygulamalar, hangi kiracı adına işlem yapıldığını SDK'ya bir kiracı alt alan adı (tenant subdomain) ileterek bildiriyor. SDK bu bilgiyi, uygulamanın yapılandırmasındaki token URL'sinin bir bölümünü kiracı alt alan adıyla değiştirerek erişim token'ı talep etmek için kullanıyor. Kontrolsüz sürümlerde SDK, kendisine iletilen değeri doğrulamadan kullanıyor; ardından uygulamanın istemci kimliğini ve istemci parolasını bu URL'ye gönderiyor.
SAP açığı, sunucu taraflı istek sahteciliği (SSRF) olarak nitelendiriyor. Bu güvenlik zafiyetinde bir sunucu, istemeden başka bir hedefe istek gönderecek biçimde yönlendirilebiliyor. Kiracı alt alan adını denetleyebilen bir saldırgan, bu isteği kendi sunucusuna yönlendirerek uygulamanın OAuth2 kimlik bilgilerine ulaşabiliyor. Ele geçirilen kimlik bilgileriyle yapılabilecekler, uygulamanın istemcisine tanınan izinlere bağlı; SAP danışma belgesi bu konuda ek bir bilgi sunmuyor.

Hangi Sürümler Etkileniyor?​

SAP, 21 Ağustos'ta yayımlanan 0.45.2 sürümünü resmi düzeltme olarak duyurdu. Bu sürüm, yalnızca harf, rakam ve kısa çizgiden oluşan, en fazla 63 karakter uzunluğundaki değerleri kabul eden bir doğrulama denetimi ekledi. URL sınırlayıcı içeren her değer artık sessizce işlenmek yerine hemen ValueError hatası fırlatıyor.
Ne var ki The Hacker News'in 0.45.1 ile 0.58.4 arasındaki tüm sürümler ve üç adet 0.36 sürümü üzerinde yürüttüğü testler, tablonun daha karmaşık olduğunu ortaya koydu. 10 Eylül ile 18 Eylül arasında yayımlanan 0.53.0 ile 0.55.0 arasındaki altı sürüm, Destination servis modülü çağrılarında bu denetimi uygulamıyor. 0.53.0 sürümü, Destination modülünü token talepleri için oluşturulan yeni ortak koda taşıdı; ancak bu kod doğrulama denetimini içermiyordu. 0.55.0 sürümünde ise Document Management Service çağrıları da denetimden muaf tutuluyor. Söz konusu altı sürüm, SAP'nin 0.55.1 ile birlikte eklediği 11 testten 9'unda başarısız oldu.
18 Eylül'de yayımlanan 0.55.1 sürümü, denetimi ortak token talep koduna da ekledi. Bu sürüm ve ardından gelen 11 sürüm, 11 testin tamamından geçti. Eski 0.36 serisindeki 0.36.1 ve 0.36.2 sürümleri de Ağustos'taki düzeltmeden sonra —sırasıyla 4 Eylül ve 10 Eylül'de— yayımlandı ve testlerde başarısız oldu. Her iki sürüm de SAP danışma belgesinin etkilenen sürümler olarak belirlediği 0.45.2 altı aralığına giriyor.
13 Ekim itibarıyla SAP'nin danışma belgesi, 0.45.2'nin üzerindeki hiçbir sürümü etkilenen olarak listelemiyor. Belge ve sürüm notları, altı sürümün CVE-2026-89111 kapsamında değerlendirilip değerlendirilmediğini de açıklamıyor.

Güvenli Sürümler ve Alınması Gereken Önlemler​

Doğrulama denetimini içeren sürümler şunlar: 0.45.2 ile 0.52.2 arası ve 0.55.1 ile 0.58.4 arası. 13 Ekim itibarıyla PyPI'daki (Python paket dizini) en güncel sürüm 0.58.4'tü. 0.36 serisinde yükseltme yapmak denetimi kazandırmıyor; bu serinin üç sürümünün hiçbiri denetimi içermiyor.
Hemen yükseltme yapamayan uygulamalar için SAP, her kiracı alt alan adını SDK'ya iletmeden önce kayıtlı kiracılar listesiyle karşılaştırmayı öneriyor. Açık yalnızca uygulamanın SDK'ya kiracı alt alan adı ilettiği durumlarda geçerli. Ağustos düzeltmesi üç modülü kapsıyordu: Agent Gateway, Destination ve Document Management Service. SAP danışma belgesi, denetimsiz bir sürüm çalıştıran uygulamaların istemci kimlik bilgilerini yenileyip yenilemeyeceği konusunda herhangi bir yönlendirme yapmıyor.

Açığın Geçmişi ve Kamuoyuna Duyurulma Süreci​

Denetimsiz kod, SDK'nın PyPI'daki ilk sürümünden, yani 16 Mart'tan bu yana mevcuttu. Ağustos sürüm notları düzeltmeyi yalnızca "Hata Düzeltmeleri" başlığı altında listeledi ve güvenlikten söz etmedi. "Daha önce geçersiz değerler sessizce hatalı biçimlendirilmiş URL oluşturmak için kullanılıyordu" ifadesi yer aldı notlarda. Güvenlik danışma belgesi ise 53 gün sonra yayımlandı. Belge, açığı bildiren kişi olarak GitHub kullanıcısı SunandM'i kaynak gösteriyor ve herhangi bir saldırı vakasından söz etmiyor.

Sıkça Sorulan Sorular​

CVE-2026-89111 açığı tam olarak hangi uygulamaları etkiliyor?​

Açık, SAP Business Technology Platform üzerinde çalışan ve Python için Cloud SDK kullanan çok kiracılı uygulamaları etkiliyor. Yalnızca uygulamanın SDK'ya kiracı alt alan adı ilettiği durumlarda geçerli bir risk söz konusu.

Saldırgan OAuth2 kimlik bilgilerini nasıl ele geçirebiliyor?​

Kiracı alt alan adını denetleyebilen bir saldırgan, SDK'nın oluşturduğu token talep URL'sini kendi sunucusuna yönlendirebiliyor. Denetim eksikliği nedeniyle SDK, uygulamanın istemci kimliğini ve istemci parolasını doğrulama yapmadan bu adrese gönderiyor.

Hangi sürümler güvenli, hangileri risk taşıyor?​

0.45.2 ile 0.52.2 arası ve 0.55.1 ile 0.58.4 arası sürümler doğrulama denetimini içeriyor. 0.53.0 ile 0.55.0 arasındaki altı sürüm Destination modülü çağrılarında, 0.55.0 ise Document Management Service çağrılarında da denetimi uygulamıyor. 0.36 serisinin hiçbir sürümü denetimi barındırmıyor.

Hemen yükseltme yapamayan kullanıcılar ne yapmalı?​

SAP, geçici önlem olarak her kiracı alt alan adını SDK'ya iletmeden önce uygulamanın kayıtlı kiracılar listesiyle karşılaştırmasını öneriyor.

Açığı kim bildirdi ve herhangi bir saldırı vakası yaşandı mı?​

SAP'nin güvenlik danışma belgesi, açığı bildiren kişi olarak GitHub kullanıcısı SunandM'i kaynak gösteriyor. Belge, açığın kötüye kullanıldığına dair herhangi bir saldırı vakasından söz etmiyor.