SAP Cloud SDK for AI(JavaScript)にエラーメッセージから認証情報が漏れる脆弱性
Summary
SAP Cloud SDK for AI(Node.js)では、特定の障害時にエラーメッセージへ認証情報が含まれることがあり、その情報が漏れるおそれがあります。悪用には、上位権限ユーザーが障害を起こすのを待つ必要があり、トークンの有効期間内という条件もあるため、難易度は高いと評価されています。修正版の有無は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SAP Cloud SDK for AI(Node.js)では、特定の障害時にエラーメッセージへ認証情報が含まれることがあり、その情報が漏れるおそれがあります。悪用には、上位権限ユーザーが障害を起こすのを待つ必要があり、トークンの有効期間内という条件もあるため、難易度は高いと評価されています。修正版の有無は公表されていないため、最新の情報を確認してください。
Original description The description as published by the source.
SAP Cloud SDK for AI (Node.js) could inadvertently include sensitive authentication credentials in error messages generated by certain internal operations under specific failure conditions. An attacker with low privileges and access to application logs or forwarded error output could obtain these credentials, but only after waiting for a suitable failure event triggered by a higher-privileged user and within the limited lifetime of the token, making exploitation complex. Successful exploitation could allow the attacker to reuse the disclosed credentials against the associated SAP service, resulting in a high impact on confidentiality, integrity and availability.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web cna@sap.com
- web cna@sap.com