何が起きたか
CWE-209。SDKは障害条件下でエラー出力に認証資格情報を埋め込みます。CVSS 7.5、CIAへの影響は高い。
なぜ重要か
このSDKはSAPのAIサービスへのアクセスレイヤーです。エラー出力を通じた資格情報漏洩は、攻撃者がエンタープライズAI/LLM機能へのアクセスを許可するトークンを取得するための低労力でログベースの手段です。
攻撃経路
特定の内部操作が特定の障害条件下で、機密の認証資格情報を誤って含むエラーメッセージを生成します。アプリケーションログや転送されたエラー出力にアクセスできる低権限の攻撃者が、それらを回収できます。
影響を受けるシステム
SAP Cloud SDK for AI（JavaScript）<= v2.17.0
緩和策
GitHub GHSA-8g7j-49xg-8wf3 / SAPセキュリティパッチデーに従って、SAP Cloud SDK for AI（Node.js）をv2.17.0より新しいバージョンにアップグレードしてください。