SAP-Patchday Oktober: Vier kritische Lücken, CVSS 10 in einem SDK
SAP hat zum Oktober-Patchday 16 neue Sicherheitshinweise und vier GitHub-Advisories veröffentlicht. Vier der Schwachstellen stuft der Walldorfer Softwarekonzern als kritisch ein. Angreifer können dadurch abgeschottete Geschäftsdaten einsehen, Schadcode ausführen oder Systeme vollständig übernehmen. Patches stehen bereit.
CVSS 10 im SAP Cloud SDK for Python
Die höchste Bewertung (CVSS 10,0) trägt CVE-2026-89111 im SAP Cloud SDK for Python. Angreifer manipulieren im OAuth2-Kontext den Parameter tenant_subdomain, den das SDK ungeprüft in die URL der Tokenanfrage einbaut. Die Anwendung schickt ihre Client Credentials damit an einen Server der Angreifer. Mit diesen Zugangsdaten erhalten diese Zugriff auf alle Ressourcen, für die die Anwendung berechtigt ist – etwa Daten in S/4HANA, SuccessFactors oder anderen BTP-Diensten. Abhilfe schafft SAP Cloud SDK for Python 0.45.2.
Weitere kritische Schwachstellen
CVE-2026-89110 erlaubt Angreifern mit niedrigen Nutzerrechten über eine fehlerhafte Zugriffskontrolle unbefugten Zugriff auf SAP NetWeaver Visual Composer bis hin zur vollständigen Systemübernahme. CVE-2026-89107 ermöglicht angemeldeten Angreifern das Ausführen von Schadcode in SAP S/4HANA, CVE-2026-89108 in SAP Manufacturing Integration and Intelligence mit Admin-Rechten. Außerdem betroffen sind SAP Commerce Cloud, SAP NetWeaver mit Web Dispatcher und die SAP ABAP Platform.
Empfehlung für Betreiber
Es gibt bislang keine Hinweise auf aktive Ausnutzung. Bei kritischen Lücken in Systemlandschaften, die Unternehmensdaten bündeln, wechselt diese Lage jedoch schnell. Administratoren sollten die Patches zeitnah einspielen, exponierte NetWeaver- und Web-Dispatcher-Komponenten priorisieren und SDK-Abhängigkeiten in eigenen Integrationsprojekten prüfen.
No responses yet