Quattro falle SAP aprono la porta ai client credentials
SAP ha corretto quattro vulnerabilità critiche con il Patch Day di ottobre 2026. La più delicata è CVE-2026-89111 in SAP Cloud SDK for Python: in app BTP multi-tenant, può far uscire i client credentials dall’istanza giusta e trasformare un singolo errore in una rottura del trust a livello di tenant.
Il meccanismo è una SSRF su OAuth2. Se chi attacca controlla il parametro tenant_subdomain, può deviare la richiesta del token verso un server sotto il proprio controllo e ricevere le credenziali dell’app. Le altre tre falle toccano barriere di autorizzazione o validazione dell’input: NetWeaver Visual Composer permette a un utente poco privilegiato di invocare operazioni interne, S/4HANA accetta input costruiti per iniettare ABAP, e MII consente a chi ha privilegi XMII Admin di creare un account amministratore sul server Java sottostante.
SAP non segnala sfruttamento attivo. Per chi gestisce questi prodotti, il punto non è solo la patch: i segreti OAuth esposti possono restare validi oltre la correzione e abilitare accessi successivi, mentre le altre falle possono portare fino al controllo completo del sistema.
CVSS 9.9 CRITICAL: sAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that utilizes a domain-specific scripting language.
CVSS 9.1 CRITICAL: sAP Manufacturing Integration and Intelligence does not sufficiently enforce authorization boundaries within certain administrative functionality.