Критическая уязвимость CVSS 10 в SAP Cloud SDK для Python позволяет украсть учетные данные OAuth2

13 октября SAP опубликовала рекомендации по безопасности, в которых раскрыла критическую уязвимость в Cloud SDK для Python — официальном Python-клиенте для сервисов SAP Business Technology Platform (BTP). Уязвимость получила максимальную оценку CVSS 10, что означает наивысший уровень риска. Проблема особенно опасна тем, что затрагивает механизм аутентификации приложений: при определенных условиях приложение может передать свои учетные данные OAuth2 (OAuth2 client credentials) на сервер, контролируемый злоумышленником. Утечка таких данных фактически открывает доступ к сервисам, к которым приложение подключено, от имени самого приложения.

Подробности

Уязвимость затрагивает мультитенантные приложения, развернутые на SAP Business Technology Platform и использующие Cloud SDK для Python. Ключевое условие эксплуатации — способность атакующего контролировать поддомен тенанта (tenant subdomain). Получив такой контроль, злоумышленник может перенаправить поток учетных данных OAuth2 на свой сервер и перехватить их. Таким образом, для реализации атаки требуется не только наличие уязвимого SDK в приложении, но и компрометация или захват поддомена тенанта. Это несколько сужает круг потенциальных атак, однако для мультитенантных сред BTP, где поддомены активно используются для разграничения клиентов, риск остается серьезным. Максимальная базовая оценка CVSS 10 присваивается уязвимостям, которые одновременно легко эксплуатируются, не требуют особых условий и приводят к тяжелым последствиям — в данном случае к компрометации учетных данных и, как следствие, к несанкционированному доступу к облачным сервисам. Точные версии SDK, в которых присутствует уязвимость, а также идентификатор CVE в исходном сообщении не приводятся — их следует уточнять в официальном security advisory SAP от 13 октября.

Что делать

SAP выпустила рекомендации по устранению проблемы. Организациям, использующим Cloud SDK для Python в мультитенантных приложениях на BTP, следует: - незамедлительно ознакомиться с официальным security advisory SAP и определить, попадают ли их приложения под действие уязвимости; - обновить Cloud SDK для Python до версии, содержащей исправление; - проверить контроль над используемыми поддоменами тенантов и убедиться, что они не могут быть перехвачены третьими лицами; - рассмотреть ротацию учетных данных OAuth2 для приложений, которые могли быть затронуты; - усилить мониторинг обращений к сервисам BTP на предмет подозрительной активности. Учитывая критический характер уязвимости, откладывать обновление не стоит: промедление повышает вероятность компрометации учетных данных и доступа к облачной инфраструктуре. Атака требует контроля над поддоменом тенанта, но при его наличии приводит к прямой утечке учетных данных OAuth2 — поэтому устранение уязвимости и проверка доменов должны быть приоритетом для команд, работающих с мультитенантными приложениями на SAP BTP.

Источник: The Hacker News