SAP Python Cloud SDK-də Kritik Boşluq: OAuth2 İdentifikasiya Məlumatları Təhlükə Altında
13rose
1 min read
SAP Python Cloud SDK-də Kritik Boşluq Aşkar Edildi
SAP şirkəti, oktyabrın 13-də yayımladığı təhlükəsizlik bildirişində Cloud SDK for Python məhsulunda kritik bir boşluğun (CVSS 10) aşkarlandığını elan edib. Bu boşluq, tətbiqin OAuth2 müştəri identifikasiya məlumatlarını hücumçunun nəzarətində olan bir serverə ötürmək imkanı yaradır.
Boşluğun Təfərrüatları və Təsiri
Aşkar edilmiş boşluq, SAP Business Technology Platform (BTP) üzərində yerləşən və sözügedən SDK-dan istifadə edən multi-tenant tətbiqlərə təsir edir. SAP-ın BTP xidmətləri üçün rəsmi Python müştərisi olan bu SDK-dakı zəiflik, hücumçunun kirayəçi subdomenini idarə edə biləcəyi təqdirdə identifikasiya məlumatlarının oğurlanmasına şərait yaradır.
Bu o deməkdir ki, əgər hücumçu müəyyən bir kirayəçinin subdomenini ələ keçirərsə, həmin kirayəçi tətbiqdən gələn OAuth2 autentifikasiya məlumatlarını öz serverinə yönləndirə bilər. Bu isə, həssas məlumatlara icazəsiz girişə və digər zərərli fəaliyyətlərə yol aça bilər.
