SAP Cloud SDK for Pythonでテナントとユーザーのなりすましを許す脆弱性
Summary
SAP Cloud SDK for PythonのIASContextProviderで、JWTの署名検証が行われていません。署名されていない偽のトークンで、別のテナントやユーザーになりすませるおそれがあります。影響は監査ログやテナントの振り分けにも及び、CVSSは7.5です。修正版と対策の情報は、公開時点では確認できていません。最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SAP Cloud SDK for PythonのIASContextProviderで、JWTの署名検証が行われていません。署名されていない偽のトークンで、別のテナントやユーザーになりすませるおそれがあります。影響は監査ログやテナントの振り分けにも及び、CVSSは7.5です。修正版と対策の情報は、公開時点では確認できていません。最新の情報を確認してください。
Original description The description as published by the source.
The SAP Cloud SDK for Python contains an improper cryptographic signature verification vulnerability (CWE-347) in IASContextProvider, the runtime-context provider registered by default via bootstrap(app).IASContextProvider extracted the app_tid, sap_gtid and user_uuid claims from the IAS JWT in the Authorization header using an unverified decoder and wrote them into the request-scoped RuntimeContext without validating the token signature. A remote caller could submit a self-signed JWT naming a victim tenant/user; the forged identity then propagated to every consumer of the runtime context:OTel span attributes (sap.tenancy.tenant_id, user.id) via RuntimeContextSpanProcessorlog records via IdentityLogFilteraudit events (tenant_id, user_initiator_id) via AuditClienttenant routing via CBCClientThis completes an earlier remediation that fixed the same unverified pattern in StarletteIASTelemetryMiddleware but did not cover IASContextProvider.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory nvd.nist.gov
- web cna@sap.com
- web cna@sap.com