CVE-2026-89111 : SAP Cloud SDK Python SSRF CVSS 10.0 critique

Les faits

Le 13 octobre 2026, SAP a publié son Security Patch Day mensuel, corrigeant plusieurs vulnérabilités critiques dans son écosystème cloud. La plus grave est CVE-2026-89111 : une Server-Side Request Forgery (SSRF) atteignant le score CVSS maximal de 10.0 dans le SAP Cloud SDK pour Python. Cette vulnérabilité affecte spécifiquement les applications multi-tenant déployées sur la SAP Business Technology Platform (BTP) et permet à un attaquant de détourner le flux OAuth2 pour exfiltrer des credentials client vers un serveur sous son contrôle. Aucune exploitation in-the-wild n'est confirmée à ce jour, mais la criticité maximale et la nature des informations exposées en font une priorité de remédiation immédiate.

CVE-2026-89111 est classée CWE-918 (Server-Side Request Forgery). Le vecteur CVSS v3.1 complet est : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N, avec un score d'impact de 5.8 et d'exploitabilité de 3.9. La combinaison AV:N (accès réseau), AC:L (faible complexité), PR:N (aucun privilège), UI:N (aucune interaction utilisateur) et S:C (impact hors périmètre) justifie pleinement le score de 10.0. Cette faille est techniquement accessible à tout acteur malveillant disposant d'un accès réseau à l'application BTP cible, sans authentification préalable.

La root cause réside dans l'absence de validation du paramètre tenant_subdomain lors des requêtes de token OAuth2. Dans les architectures multi-tenant SAP BTP, ce paramètre détermine quel serveur d'autorisation le SDK doit contacter pour obtenir un token d'accès. La logique défaillante est la suivante : si un attaquant parvient à contrôler la valeur de tenant_subdomain — via une entrée utilisateur non sanitisée, un paramètre HTTP manipulé, ou une logique applicative exposée — il peut substituer l'URL du serveur d'autorisation légitime SAP par l'URL d'un serveur malveillant. Le SDK enverra alors sa requête d'obtention de token, incluant les client_credentials (client_id et client_secret), directement au serveur attaquant.

L'impact est redoutable : les credentials OAuth2 exfiltrés permettent à l'attaquant de s'authentifier de manière légitime auprès des APIs SAP BTP au nom de l'application compromise. Selon la portée des droits associés, cela peut conduire à un accès complet aux données métier hébergées sur BTP, à la manipulation de workflows SAP, à l'accès aux bases de données associées ou à la pivotation vers d'autres services SAP interconnectés (S/4HANA, SuccessFactors, Ariba). Dans un contexte multi-tenant, la compromission d'un tenant peut également servir de point d'appui pour tenter d'accéder à d'autres tenants partageant la même infrastructure.

La découverte de CVE-2026-89111 s'inscrit dans un contexte plus large de risques liés aux SSRF dans les plateformes cloud d'entreprise. Les SSRF sont particulièrement dangereuses dans les environnements cloud car elles peuvent permettre d'accéder aux metadata endpoints des instances cloud (AWS IMDSv1, Azure IMDS, GCP metadata server), aux services internes non exposés sur Internet ou aux APIs d'administration. Dans le cas de SAP BTP, la SSRF cible spécifiquement le flux d'authentification OAuth2, ce qui en fait une variante à très fort impact métier, d'après l'analyse publiée par SAP dans sa note de sécurité d'octobre 2026.

SAP Cloud SDK pour Python est une bibliothèque officielle utilisée par les développeurs pour construire des applications cloud-native sur la SAP Business Technology Platform. SAP BTP est la plateforme cloud d'entreprise de SAP, adoptée par des milliers d'organisations mondiales pour déployer des extensions, des intégrations et des applications métier personnalisées autour de leurs systèmes SAP core. La surface d'attaque potentielle est significative : toutes les applications multi-tenant construites avec des versions vulnérables (antérieures à 0.45.2) sont exposées, dès lors qu'un attaquant peut influencer le paramètre tenant_subdomain.

SAP a publié le correctif dans la version 0.45.2 du SAP Cloud SDK pour Python, disponible depuis le 13 octobre 2026. La correction implémente une validation stricte du paramètre tenant_subdomain pour s'assurer que l'URL construite correspond à un domaine autorisé dans le périmètre BTP configuré, empêchant toute redirection vers des domaines externes non approuvés. SAP a également publié une note de sécurité détaillée dans le cadre du SAP Security Patch Day d'octobre 2026, décrivant les versions affectées et la procédure de mise à jour.

Il est important de noter qu'une faille connexe, CVE-2026-89105, affectant la bibliothèque cloud-security-services-integration-library de SAP, a été publiée simultanément lors du même Security Patch Day. Les équipes de développement utilisant l'écosystème SAP Cloud SDK doivent conduire une revue complète de leurs dépendances et s'assurer que l'ensemble des composants SAP Cloud sont mis à jour. La combinaison d'un score CVSS maximal (10.0), d'une exploitation sans authentification requise et d'un impact direct sur des credentials d'entreprise SAP fait de CVE-2026-89111 une priorité de remédiation de premier ordre pour toutes les organisations utilisant SAP BTP en mode multi-tenant.

Impact et exposition

CVE-2026-89111 affecte exclusivement les organisations qui développent ou maintiennent des applications multi-tenant sur SAP Business Technology Platform en utilisant le SAP Cloud SDK pour Python en versions antérieures à 0.45.2. SAP BTP est largement adopté par les grandes entreprises internationales pour leurs intégrations SAP S/4HANA, SAP SuccessFactors, SAP Ariba et leurs développements cloud-native personnalisés. Les organisations principalement concernées sont les grandes entreprises et les éditeurs de logiciels (ISV) construisant des solutions SaaS sur BTP.

L'exploitation ne requiert ni authentification, ni interaction utilisateur : un attaquant disposant d'un accès réseau à l'application vulnérable et capable d'influencer le paramètre tenant_subdomain peut déclencher l'exfiltration des credentials OAuth2. Les conditions d'exploitation peuvent être réunies via plusieurs vecteurs : manipulation de paramètres HTTP, injection dans des flux d'API, ou logique applicative permettant à des entrées externes d'influencer le tenant résolu. La criticité effective dépend de l'architecture de l'application cible.

En cas d'exploitation réussie, les conséquences peuvent être sévères : vol de credentials OAuth2 permettant une authentification persistante aux APIs SAP, accès non autorisé aux données métier critiques (commandes, RH, finances), perturbation de processus SAP, et potentiellement mouvement latéral vers d'autres services connectés à la plateforme BTP. Pour les ISV hébergeant des solutions multi-tenant, la compromission d'un seul tenant pourrait théoriquement exposer l'infrastructure partagée et d'autres clients. Le score CVSS 10.0 reflète l'étendue maximale de cet impact potentiel selon l'analyse de SAP Security Response.

Recommandations immédiates

• Mettre à jour le SAP Cloud SDK pour Python vers la version 0.45.2 ou supérieure — advisory : SAP Security Patch Day October 2026, CVE-2026-89111
• Identifier toutes les applications BTP multi-tenant utilisant le SDK : commande pip list | grep sap pour vérifier les versions déployées
• Mettre à jour également la bibliothèque cloud-security-services-integration-library (CVE-2026-89105 connexe) vers sa dernière version
• Renouveler les credentials OAuth2 (client_id et client_secret) des applications potentiellement exposées si un doute subsiste
• Implémenter une validation stricte des paramètres tenant_subdomain au niveau applicatif, en complément du correctif SDK
• Auditer les logs d'accès OAuth2 BTP pour détecter des requêtes de token vers des endpoints inattendus ou des IPs suspectes
• Contrôler les fichiers requirements.txt et pyproject.toml pour identifier les dépendances figées sur des versions vulnérables