SAP 파이썬 SDK서 CVSS 10.0 취약점…OAuth2 인증정보 유출 위험

SAP가 13일 공개한 공식 보안 권고에 따르면, Cloud SDK for Python에서 OAuth2 인증 요청을 공격자 서버로 돌릴 수 있는 서버 측 요청 위조(SSRF) 취약점이 확인됐다. 취약점 식별자는 CVE-2026-89111이며, SAP의 10월 보안 패치 안내에는 심각도가 최고 등급인 Critical, CVSS 점수가 10.0으로 표시돼 있다.

영향받는 패키지는 파이썬용 sap-cloud-sdk의 0.45.2 미만 버전이다. 문제는 여러 고객의 환경을 함께 처리하는 멀티테넌트 SAP Business Technology Platform(BTP) 애플리케이션에서 발생한다. SAP는 공격자가 tenant_subdomain 매개변수를 제어할 수 있을 때 OAuth2 토큰 요청을 공격자 소유 서버로 보내 클라이언트 인증정보를 유출시킬 수 있다고 설명했다.

OAuth2 클라이언트 인증정보는 애플리케이션이 토큰을 요청할 때 자신을 인증하는 데 쓰인다. 이를 포함한 요청이 의도한 인증 서버가 아닌 외부 서버에 전달되면, 서버 간 인증에 사용되는 비밀값이 노출될 수 있다. 이번 권고의 대상은 해당 파이썬 SDK를 사용하는 애플리케이션이며, 모든 SAP 제품에 동일한 취약점이 있다는 뜻은 아니다.

수정 버전은 0.45.2다. SAP는 이 버전에서 tenant_subdomain 값을 토큰 URL에 넣기 전에 RFC 1123의 DNS 레이블 규칙에 맞는지 검증하도록 변경했다고 밝혔다. 개발·운영 조직은 배포 환경에서 실제 사용 중인 sap-cloud-sdk 버전을 확인하고 수정 버전 적용을 검토할 필요가 있다.

즉시 업데이트하기 어려운 경우에 대한 완화책도 제시됐다. SAP는 애플리케이션이 SDK를 호출하기 전에 tenant_subdomain 값을 등록된 테넌트 서브도메인의 허용 목록과 대조하도록 권고했다. 단순히 외부 입력을 그대로 토큰 요청에 전달하지 않고, 서비스가 알고 있는 테넌트 값인지 확인하는 방식이다.

공식 권고는 실제 악용 사례나 피해 규모를 제시하지 않았다. 이번 발표는 인증정보가 유출될 수 있는 취약점과 그 수정·완화 방안을 알린 것으로, 침해사고가 발생했다는 발표와는 구분된다.

출처: SAP Cloud SDK for Python 공식 보안 권고 https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2
SAP 2026년 10월 보안 패치 안내 https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html