무슨 일이 있었나
CWE-209. SDK는 실패 조건에서 오류 출력에 인증 자격 증명을 포함합니다. CVSS 7.5, CIA에 높은 영향.
왜 중요한가
이 SDK는 SAP의 AI 서비스에 대한 접근 계층입니다. 오류 출력을 통한 자격 증명 유출은 공격자가 엔터프라이즈 AI/LLM 기능에 접근할 수 있는 토큰을 얻는 저노력, 로그 기반 방법입니다.
공격 경로
특정 실패 조건에서 특정 내부 작업은 인증 자격 증명을 실수로 포함하는 오류 메시지를 생성합니다. 애플리케이션 로그 또는 전달된 오류 출력에 접근할 수 있는 저권한 공격자가 이를 복구할 수 있습니다.
영향받는 시스템
SAP Cloud SDK for AI (JavaScript) <= v2.17.0
완화 방안
GitHub GHSA-8g7j-49xg-8wf3 / SAP 보안 패치 데이에 따라 SAP Cloud SDK for AI (Node.js)를 v2.17.0 이상으로 업그레이드하십시오.