SAP revela una vulnerabilidad crítica con una puntuación CVSS de 10 en el Cloud SDK para Python que permite el robo de credenciales OAuth2

La com­pa­ñía SAP ha emi­ti­do una ad­ver­ten­cia sobre una vul­ne­ra­bi­li­dad crí­ti­ca pre­sen­te en su kit de de­sa­rro­llo de soft­wa­re (SDK) para apli­ca­cio­nes en Python, orien­ta­das a la pla­ta­for­ma SAP Bu­si­ness Tech­no­logy Plat­form. Esta falla per­mi­te que las cre­den­cia­les de clien­te OAuth2 de una apli­ca­ción sean en­via­das hacia un ser­vi­dor con­tro­la­do por un ata­can­te, siem­pre y cuan­do este úl­ti­mo tenga la ca­pa­ci­dad de ma­ni­pu­lar el sub­do­mi­nio del in­qui­lino que la apli­ca­ción co­mu­ni­ca al SDK.

El pro­ble­ma de se­gu­ri­dad está re­gis­tra­do con una pun­tua­ción de gra­ve­dad má­xi­ma de diez y cuen­ta con un iden­ti­fi­ca­dor es­pe­cí­fi­co de vul­ne­ra­bi­li­dad. El me­ca­nis­mo por el cual opera esta de­bi­li­dad con­sis­te en que el SDK toma la di­rec­ción URL para so­li­ci­tar un token de ac­ce­so y sus­ti­tu­ye una sec­ción de la misma em­plean­do el sub­do­mi­nio del in­qui­lino pro­por­cio­na­do. Las ver­sio­nes afec­ta­das que ca­re­cen de la va­li­da­ción ade­cua­da per­mi­ten que cual­quier valor in­tro­du­ci­do sea uti­li­za­do para cons­truir una di­rec­ción de des­tino, des­vian­do de esta forma la in­for­ma­ción con­fi­den­cial de au­ten­ti­ca­ción hacia pun­tos fi­na­les ma­li­cio­sos.

Como me­di­da de mi­ti­ga­ción, las re­co­men­da­cio­nes ofi­cia­les su­gie­ren ac­tua­li­zar a las ver­sio­nes del SDK que in­cor­po­ran la va­li­da­ción ne­ce­sa­ria para re­cha­zar sub­do­mi­nios con for­ma­to in­co­rrec­to o que con­ten­gan ca­rac­te­res no per­mi­ti­dos. Asi­mis­mo, como al­ter­na­ti­va tem­po­ral para aque­llos sis­te­mas que no pue­dan ac­tua­li­zar­se de in­me­dia­to, se acon­se­ja com­pa­rar pre­via­men­te cada sub­do­mi­nio de in­qui­lino con un re­gis­tro au­to­ri­za­do antes de en­viar­lo al kit de de­sa­rro­llo.