SAP warns of maximum severity OAuth2 SSRF security flaw
BleepingComputer · 13 oct, 15:51
SAP ha parcheado 20 vulnerabilidades en octubre de 2026, incluida CVE-2026-89111, una falla de máxima severidad en el Cloud SDK for Python que permite a atacantes remotos sin privilegios robar credenciales mediante un ataque OAuth2 SSRF. También se han abordado dos vulnerabilidades críticas en NetWeaver Visual Composer y SAP Manufacturing Integration and Intelligence. SAP es una empresa multinacional alemana que atiende a 99 de las 100 mayores compañías mundiales.
CVE-2026-89111 es un fallo OAuth2 SSRF en el Cloud SDK for Python, toolkit oficial para desarrollar aplicaciones e IA agents en la plataforma SAP Business Technology Platform (BTP). Un atacante que controle el parámetro tenant_subdomain puede redirigir solicitudes de tokens OAuth2 a un servidor controlado por el atacante, exfiltrando credenciales de cliente. SAP permite mitigar temporalmente el problema usando una lista de permitidos para validar los valores de tenant_subdomain.
En paralelo, CVE-2026-89110 es una vulnerabilidad de control de acceso roto en SAP NetWeaver Visual Composer que permite a atacantes remotos con privilegios limitados comprometer completamente sistemas vulnerables. CVE-2026-89108, en SAP Manufacturing Integration and Intelligence, permite a actores de amenaza con privilegios de administrador obtener control de administrador aprovisionando una cuenta elevada en la aplicación Java subyacente. Desde noviembre de 2021, CISA ha catalogado 14 flaws de SAP como activamente explotados, tres de los cuales fueron abusados en ataques de ransomware.
Puntos clave
- CVE-2026-89111: OAuth2 SSRF en SAP Cloud SDK for Python, máxima severidad, exfiltra credenciales sin autenticación
- Mitigación temporal: validar tenant_subdomain contra lista de permitidos conocidos
- CVE-2026-89110 (NetWeaver Visual Composer) y CVE-2026-89108 (Manufacturing Integration) son críticos
- Más de 10.000 sistemas SAP Internet-facing potencialmente vulnerables a CVE-2026-44756
- 14 vulnerabilidades SAP en CISA KEV desde noviembre de 2021, tres explotadas en ransomware