Contexte et portée
Le 13 octobre 2026, SAP a publié un avis de sécurité indiquant l’existence d’une vulnérabilité classée CVSS 10 dans son Cloud SDK for Python. Cette notation représente le score le plus élevé possible, ce qui signifie que l’exposition peut être exploitée sans interaction de l’utilisateur et entraîner une compromission totale du système. L’avis ne précise pas les versions exactes du SDK concernées, mais il indique que la faille affecte les projets Python qui intègrent les bibliothèques d’authentification OAuth2 fournies par SAP.
Mécanisme de la vulnérabilité
Selon les informations disponibles, la faille réside dans la gestion des jetons d’accès OAuth2 au sein du SDK. Le code du SDK stocke les access tokens et les refresh tokens dans des variables globales accessibles en lecture par tout module importé après l’initialisation du client. Cette pratique crée un vecteur d’attaque où un code malveillant exécuté dans le même processus Python peut extraire les jetons et les transmettre à un serveur distant. L’absence de chiffrement ou de masquage des jetons dans la mémoire rend la récupération triviale pour un attaquant disposant d’un accès de niveau utilisateur au processus.
Conséquences potentielles
Le vol de jetons OAuth2 permet à un acteur malveillant d’obtenir les mêmes droits que l’application légitime, y compris l’accès aux API SAP Cloud Platform, la lecture ou la modification de données d’entreprise, et la possibilité d’exécuter des actions au nom de l’utilisateur. Dans un scénario d’attaque, l’adversaire pourrait ainsi extraire des informations financières, modifier des configurations de service, ou même déclencher des processus de facturation. Étant donné que le SDK est largement utilisé dans les intégrations cloud, la surface d’exposition s’étend potentiellement à de nombreuses organisations clientes de SAP.
Recommandations et mesures d’atténuation
En l’absence de correctif public, SAP recommande aux développeurs de suspendre l’utilisation du SDK pour la gestion des flux OAuth2 et de recourir à des bibliothèques tierces réputées pour leur isolation des jetons, telles que oauthlib ou requests-oauthlib. Les équipes de sécurité doivent également révoquer immédiatement tous les jetons générés avec le SDK vulnérable, puis en générer de nouveaux après la mise à jour. Une surveillance accrue des logs d’accès aux API SAP peut aider à détecter des utilisations anormales de jetons. Enfin, les organisations sont invitées à suivre les futures publications de SAP pour appliquer le correctif dès sa disponibilité et à mettre en place des contrôles de segmentation des processus Python afin de limiter la portée d’un éventuel code compromis.
