CVE-2026-89111 : SAP corrige un SSRF OAuth2 CVSS 10.0 dans Cloud SDK for Python

Les faits

Le 8 octobre 2026, SAP a publié son Security Patch Day mensuel, corrigeant 20 vulnérabilités à travers son portefeuille de produits. La plus sévère — la seule notée CVSS 10.0 — est CVE-2026-89111, un Server-Side Request Forgery (SSRF) dans la mécanique OAuth2 du SAP Cloud SDK for Python. Cette vulnérabilité affecte toutes les versions antérieures à 0.45.2 du SDK et représente une menace directe pour toute organisation utilisant des applications SAP BTP (Business Technology Platform) développées en Python pour connecter ses systèmes aux services SAP cloud.

Sur le plan technique, la faille réside dans la gestion du paramètre tenant_subdomain lors des échanges de tokens OAuth2. Un attaquant qui contrôle la valeur de ce paramètre via une requête HTTP non authentifiée peut rediriger la demande de token vers un serveur qu'il contrôle. Le SDK effectue alors la requête vers ce serveur malveillant avec les credentials clients SAP — client_id et client_secret — inclus dans la requête, les exposant intégralement sans authentification préalable et sans interaction utilisateur.

La note CVSS 10.0 est justifiée par trois caractéristiques combinées : vecteur réseau (exploitable depuis internet), aucune authentification requise, et aucune interaction utilisateur nécessaire. L'impact touche les trois piliers : confidentialité (vol de credentials OAuth2), intégrité (l'attaquant peut s'authentifier comme l'application légitime et modifier des données), et disponibilité (les services dépendants de ces credentials peuvent être perturbés ou détournés). Aucun facteur d'atténuation n'est identifié dans le vecteur CVSS officiel.

Cette vulnérabilité s'inscrit dans un contexte particulièrement sensible. SAP BTP est la plateforme cloud d'intégration et d'extension de SAP, utilisée par des milliers d'entreprises mondiales pour connecter leurs systèmes S/4HANA, SuccessFactors, Ariba et Concur. Un attaquant qui exfiltre des credentials OAuth2 via cette faille peut potentiellement accéder aux données métier les plus sensibles — financières, RH, logistiques — selon les scopes accordés à l'application compromise.

La vulnérabilité est particulièrement dangereuse dans les architectures multi-tenant, caractéristiques des déploiements SAP BTP modernes, où plusieurs clients partagent une infrastructure commune. En manipulant le paramètre tenant_subdomain, un attaquant peut théoriquement cibler n'importe quel tenant hébergé sur la même infrastructure, amplifiant considérablement la portée d'une exploitation réussie.

Le CERT-FR et plusieurs organisations de veille en sécurité ont immédiatement classé CVE-2026-89111 comme priorité de traitement maximale, recommandant un patching sous 24 à 48 heures pour toutes les organisations opérant des applications SAP BTP en Python. La nature sans-authentification de l'exploitation rend toute temporisation dangereuse, d'autant que les détails techniques ont été publiés dans des avis de sécurité publics accessibles à tous.

Au-delà de CVE-2026-89111, le Patch Day SAP d'octobre 2026 comprend trois autres vulnérabilités critiques : une injection de code dans SAP NetWeaver (CVSS 9.1), une corruption mémoire dans SAP S/4HANA (CVSS 8.8), et une élévation de privilèges dans SAP BusinessObjects Business Intelligence Platform (CVSS 8.5). SAP recommande l'application de l'ensemble du bundle d'octobre 2026 et non pas uniquement le correctif de la CVE la plus critique.

À date de publication, SAP n'a pas communiqué d'exploitation active confirmée de CVE-2026-89111 dans la nature. Toutefois, l'absence de complexité technique requise pour exploiter cette faille — une simple requête HTTP avec un paramètre tenant_subdomain modifié suffit — laisse présager une fenêtre de danger extrêmement courte avant que des acteurs malveillants ne développent des exploits opérationnels. Les chercheurs en sécurité estiment que des scripts d'exploitation pourraient être disponibles dans les 48 à 72 heures suivant la divulgation.

SAP conseille aux organisations qui ne peuvent pas immédiatement appliquer le patch de mettre en place une validation par liste blanche des valeurs acceptées pour le paramètre tenant_subdomain dans leurs applications BTP. Cette mitigation temporaire réduit significativement la surface d'attaque mais ne supprime pas la vulnérabilité — seule la mise à jour vers 0.45.2 ou supérieure constitue une résolution définitive et durable.

Impact et exposition

Sont exposées : toutes les organisations utilisant le SAP Cloud SDK for Python en version antérieure à 0.45.2 pour développer ou opérer des applications SAP BTP. La vulnérabilité est particulièrement critique dans les secteurs finance, manufacturing, logistique et distribution — base clientèle principale de SAP BTP. Les organisations opérant des architectures multi-tenant ou des environnements BTP exposés sur internet sans couche de validation des paramètres d'entrée sont dans la catégorie de risque maximal.

Recommandations

• Mise à jour immédiate : déployer SAP Cloud SDK for Python version 0.45.2 ou supérieure dans tous les environnements — développement, staging et production
• Mitigation temporaire : si le patch immédiat est impossible, implémenter une validation stricte du paramètre tenant_subdomain par liste blanche des valeurs légitimes dans le code applicatif
• Audit des logs OAuth2 : analyser les logs des échanges OAuth2 des 30 derniers jours pour détecter des redirections vers des domaines non autorisés
• Rotation des credentials : en cas de doute sur une exploitation passée, effectuer immédiatement une rotation de tous les client_id et client_secret des applications BTP concernées
• Bundle SAP d'octobre 2026 : appliquer l'ensemble des 20 correctifs du Patch Day — ne pas se limiter à CVE-2026-89111