ドイツの大手ソフトウェア企業SAPは10月13日、同社のPython向け公式SDK(開発用の部品セット)「SAP Cloud SDK for Python」に、深刻度が最高の10.0(CVSS)とされるセキュリティホール(脆弱性)があると、セキュリティ情報として公表しました。
問題は、アプリケーションの「OAuth2クライアント認証情報」が、攻撃者の用意したサーバーに送信されてしまう可能性があることです。OAuth2とは、アプリ同士が互いの身元を確認し合うための仕組みで、クライアント認証情報はいわば、アプリが他のサービスに入るための「合鍵」にあたります。これが盗まれると、攻撃者がそのアプリになりすまして、本来アクセスできないデータやサービスを操作できてしまう恐れがあります。
影響を受けるのは、SAPのクラウド基盤「SAP Business Technology Platform(BTP)」上で動く、複数の顧客(テナント)を1つのアプリで扱う「マルチテナント型」のアプリのうち、このSDKを使っているものです。SDKを使っていない、あるいはマルチテナント構成でない場合は、今回の問題の対象外とされています。
この種の欠陥が厄介なのは、アプリ本体に目立った異常が出ないまま、認証の「鍵」だけが静かに外へ出てしまう点です。また、深刻度10.0は「ネットワーク経由で、特別な権限なしに、大きな被害が出うる」ことを示す最高ランクの評価です。
SAP BTP上で独自のPythonアプリを開発・運用している企業は、SAPが公開した修正版へのSDK更新を最優先で行うことが大切です。あわせて、念のため該当アプリの認証情報(クライアントシークレットなど)の再発行を検討し、不審なアクセスログがないかも確認してください。一般の利用者が個別にできることは多くありませんが、利用中のSAP系サービスの提供元からの案内に注意しておくと安心です。