Alerta de Seguridad: Vulnerabilidad crítica en SAP Cloud SDK para Python permite el robo de credenciales OAuth2

SAP ha emitido un aviso de seguridad crítico relacionado con su Cloud SDK para Python, una herramienta fundamental para el desarrollo de aplicaciones en la plataforma SAP Business Technology Platform (BTP). La vulnerabilidad, identificada como CVE-2026-89111, ha recibido una puntuación CVSS de 10.0, la máxima calificación de riesgo, debido a su potencial para comprometer la seguridad de las credenciales de autenticación.

¿En qué consiste la vulnerabilidad?

El fallo se clasifica como una vulnerabilidad de Server-Side Request Forgery (SSRF). En aplicaciones multi-inquilino (multi-tenant) que utilizan este SDK, un atacante con capacidad para controlar el subdominio del inquilino puede manipular las solicitudes realizadas por la aplicación. Al no realizarse una validación adecuada de dicho subdominio, el SDK puede ser engañado para enviar las credenciales de cliente (ID y secreto de OAuth2) a un servidor controlado por el atacante.

Alcance y versiones afectadas

La investigación ha revelado que, aunque se publicó una corrección inicial en la versión 0.45.2, versiones posteriores (específicamente de la 0.53.0 a la 0.55.0) volvieron a presentar la vulnerabilidad en el módulo de servicio ‘Destination’. Adicionalmente, versiones de la línea 0.36 también se han visto afectadas.

Recomendaciones para las organizaciones

Desde Intedya, recomendamos a los equipos de desarrollo y seguridad realizar las siguientes acciones de manera inmediata:

• Actualizar el SDK: Asegurarse de utilizar versiones que incluyan el parche de seguridad (versiones 0.55.1 o superiores).
• Validación de subdominios: Si la actualización inmediata no es posible, se debe implementar una validación estricta en el código de la aplicación, comparando cada subdominio del inquilino contra una lista blanca (whitelist) de inquilinos registrados antes de procesar cualquier solicitud.
• Auditoría de credenciales: Evaluar la posibilidad de rotar las credenciales de cliente si existe la sospecha de que la aplicación ha operado bajo una versión vulnerable.

Este incidente subraya la importancia de mantener las dependencias de software actualizadas y de implementar prácticas de desarrollo seguro, especialmente en entornos de nube donde la gestión de identidades y accesos es crítica para la integridad de los datos empresariales.