Apa yang terjadi
CWE-209. SDK menyematkan kredensial autentikasi dalam keluaran kesalahan pada kondisi kegagalan. CVSS 7.5, dampak tinggi pada CIA.
Mengapa penting
SDK ini adalah lapisan akses ke layanan AI SAP. Kebocoran kredensial melalui keluaran kesalahan adalah cara berbiaya rendah berbasis log bagi penyerang untuk mendapatkan token yang memberikan akses ke kemampuan AI/LLM perusahaan.
Vektor serangan
Operasi internal tertentu pada kondisi kegagalan spesifik menghasilkan pesan kesalahan yang secara tidak sengaja menyertakan kredensial autentikasi sensitif. Penyerang berprivilegi rendah dengan akses ke log aplikasi atau keluaran kesalahan yang diteruskan dapat memulihkannya.
Sistem yang terdampak
SAP Cloud SDK for AI (JavaScript) <= v2.17.0
Mitigasi
Tingkatkan SAP Cloud SDK for AI (Node.js) melewati v2.17.0 sesuai GitHub GHSA-8g7j-49xg-8wf3 / SAP Security Patch Day.