SAP Cloud SDK for Python の OAuth2 SSRF で認証情報が流出（CVSS 10.0）

情報取得日: 2026/10/13・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-89111
製品	SAP / SAP Cloud SDK for Python（PyPI: sap-cloud-sdk 0.45.2 未満）
CVSS	10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
種別 (CWE)	CWE-918 サーバサイドリクエストフォージェリ（SSRF）
登録／公開日	2026/10/13
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-89111

概要

SAP BTP 上のマルチテナントアプリケーションで使う **SAP Cloud SDK for Python** に、OAuth2 のトークン取得要求を外部へ向けさせられる **SSRF**（CWE-918）がある。攻撃者が `tenant_subdomain` パラメータを操作できると、トークン要求の送り先を攻撃者のサーバに変えられ、アプリケーションの **クライアント認証情報（client credentials）が流出する**。 **対象**: NVD に SAP（CNA）が登録した影響範囲は **sap-cloud-sdk 0.45.2 未満**。修正版の 0.45.2 は PyPI に 2026年8月21日付で公開されている。 **評価値**: SAP（CNA）による CVSS 3.1 は **10.0 Critical**（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）で、認証不要・ネットワーク経由・影響範囲がアプリの外へ及ぶ（S:C）評価。NVD の分析状況は Received（2026年10月13日公開・NVD 独自の採点は未付与）。2026年10月13日時点で CISA KEV には収載されていない。NVD の参照にある GitHub のアドバイザリ（GHSA-4mv3-jxxm-9cx2）は同日時点で公開されておらず、SAP の 2026年10月の Security Patch Day 一覧もまだ掲載されていないため、悪用の有無や回避策は公式で要確認。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 / ECS / Lambda 等で SAP Cloud SDK for Python を使うアプリがあれば、Python パッケージ sap-cloud-sdk を 0.45.2 以上へ更新し（`pip install -U sap-cloud-sdk` 後に依存を固定し直す）、アプリケーションを再ビルド・再デプロイする。 AWS 側の修正は無い。主な対象は SAP BTP 上のマルチテナントアプリ。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine / GKE / Cloud Run 等で SAP Cloud SDK for Python を使うアプリがあれば、Python パッケージ sap-cloud-sdk を 0.45.2 以上へ更新し（`pip install -U sap-cloud-sdk` 後に依存を固定し直す）、アプリケーションを再ビルド・再デプロイする。 GCP 側の修正は無い。主な対象は SAP BTP 上のマルチテナントアプリ。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM / AKS / App Service 等で SAP Cloud SDK for Python を使うアプリがあれば、Python パッケージ sap-cloud-sdk を 0.45.2 以上へ更新し（`pip install -U sap-cloud-sdk` 後に依存を固定し直す）、アプリケーションを再ビルド・再デプロイする。 Azure 側の修正は無い。主な対象は SAP BTP 上のマルチテナントアプリ。参照リンク
Linux	パッチあり（アプリ更新）	Python パッケージ sap-cloud-sdk を 0.45.2 以上へ更新し（`pip install -U sap-cloud-sdk` 後に依存を固定し直す）、アプリケーションを再ビルド・再デプロイする。 PyPI から入れるライブラリで、ディストリビューションのパッケージ更新では直らない。修正版の公開日は PyPI の 0.45.2 を参照。参照リンク

解決の方向性（パッチ／回避策／代替）

**sap-cloud-sdk を 0.45.2 以上へ更新する。** NVD に載っている SAP の影響範囲は 0.45.2 未満で、PyPI では 0.45.2 以降の版が公開済み。requirements.txt / poetry.lock などで古い版に固定していないかを確認し、更新後にアプリケーションを再デプロイする。 **影響を受けるかの確認**: `pip show sap-cloud-sdk` などで版を見て 0.45.2 より前かどうか。対象はこの SDK でテナントごとに OAuth2 トークンを取得している **マルチテナントの BTP アプリケーション**。 **流出の疑いがある場合**（公式の手順ではなく一般的な措置）: 古い版を公開していた期間がある場合は、アプリケーションが使っている XSUAA などのサービスインスタンスのクライアントシークレット／証明書を再発行（ローテーション）し、トークン発行ログに想定外の送信先や発行が無いかを確認する。 **完了条件**は、（1）SDK を使う全アプリケーションが 0.45.2 以上で再デプロイ済み、（2）流出の可能性がある認証情報の再発行判断が済んでいること。

よくある質問（CVE-2026-89111）

CVE-2026-89111（SAP Cloud SDK for Python）の影響は？

Critical（CVSS 10.0）に分類されるSAP SAP Cloud SDK for Python（PyPI: sap-cloud-sdk 0.45.2 未満）の脆弱性です。SAP BTP 上のマルチテナントアプリケーションで使う **SAP Cloud SDK for Python** に、OAuth2 のトークン取得要求を外部へ向けさせられる **SSRF**（CWE-918）がある。攻撃者が `tenant_subdomain` パラメータを操作できると、トークン要求の送り先を攻撃者のサーバに変えられ、アプリケーションの **クライアント認証情報（client credentials）が流出する**。 **対象**: NVD に SAP（CNA）が登録した影響範囲は **sap-cloud-sdk 0.45.2 未満**。修正版の 0.45.2 は PyPI に 2026年8月21日付で公開されている。 **評価値**: SAP（CNA）による CVSS 3.1 は **10.0 Critical**（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）で、認証不要・ネットワーク経由・影響範囲がアプリの外へ及ぶ（S:C）評価。NVD の分析状況は Received（2026年10月13日公開・NVD 独自の採点は未付与）。2026年10月13日時点で CISA KEV には収載されていない。NVD の参照にある GitHub のアドバイザリ（GHSA-4mv3-jxxm-9cx2）は同日時点で公開されておらず、SAP の 2026年10月の Security Patch Day 一覧もまだ掲載されていないため、悪用の有無や回避策は公式で要確認。

CVE-2026-89111 の対応方法・回避策は？

自分の環境が CVE-2026-89111 の影響を受けるか確認するには？

SAP SAP Cloud SDK for Python（PyPI: sap-cloud-sdk 0.45.2 未満）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-89111）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。