Aktualność · SAP · 2 min czytania
Data wydarzenia: · Opublikowano:
SAP naprawia cztery błędy bezpieczeństwa w swoich SDK dla agentów AI
Listopadowy Patch Day SAP z 2026 roku usunął cztery zgłoszenia bezpieczeństwa GitHub w otwartoźródłowych SDK do AI i agentów, w tym błąd weryfikacji JWT oraz błąd przechodzenia przez ścieżki w module Agent Memory.
SAP opublikował cztery zgłoszenia bezpieczeństwa GitHub (GitHub Security Advisories) dla swoich otwartoźródłowych SDK do AI i agentów w ramach listopadowego Patch Day, ogłoszonego 10 listopada 2026 roku, który obejmował też 35 nowych notatek bezpieczeństwa. Zgłoszenia dotyczą niepoprawnej weryfikacji podpisu JWT w IASContextProvider, błędu przechodzenia przez ścieżki w module Agent Memory, błędu wycieku danych uwierzytelniających w SDK AI dla JavaScript oraz błędu przejęcia piaskownicy między tenantami.
Co się zmieniło
- CVE-2026-109799 (GHSA-93m8-crj2-v997, CVSS 7.5): niepoprawna weryfikacja podpisu JWT w IASContextProvider w SAP Cloud SDK for Python, dotycząca wersji wcześniejszych niż 0.63.1, pozwalała zdalnemu wywołującemu przesłać samopodpisany token wskazujący na tenanta lub użytkownika ofiary, a sfałszowana tożsamość trafiała do logów, zdarzeń audytowych i routingu tenantów.
- CVE-2026-120013 (GHSA-28c8-457r-4cf6, CVSS 7.5): błąd przechodzenia przez ścieżki w module Agent Memory w SAP Cloud SDK for Python, wywołany tym, że
create_client(tenant=...)nie sprawdzał parametru tenant podanego przez wywołującego, naprawiony w wersji 0.50.0. - CVE-2026-120012 (GHSA-8g7j-49xg-8wf3, CVSS 7.5): błąd wycieku danych uwierzytelniających i ujawnienia informacji w SAP Cloud SDK for AI for JavaScript, naprawiony w wersji 2.18.0.
- CVE-2026-109797 (GHSA-93c9-96j8-4vg9, CVSS 7.1): błąd przejęcia piaskownicy między tenantami w SAP/astonish.
Co to znaczy dla twórców korzystających z SDK SAP do AI
Te podatności dotyczą bezpośrednio narzędzi SAP do agentów AI, w tym modułów pamięci agenta i kontekstu między tenantami, więc każdy zespół budujący wielotenantowych agentów AI na SDK SAP mógł narazić się na sytuację, w której jeden tenant podszywa się pod inny albo odczytuje jego dane. Zespoły korzystające z SAP Cloud SDK for Python, SAP Cloud SDK for AI for JavaScript lub SAP/astonish powinny sprawdzić zainstalowaną wersję względem wersji naprawionej wskazanej w odpowiednim zgłoszeniu.
Poprawki i dostępność
Wszystkie cztery zgłoszenia opublikowano 10 listopada 2026 roku w odpowiednich repozytoriach SAP na GitHubie: błąd przechodzenia przez ścieżki w module Agent Memory SAP Cloud SDK for Python, ujawnienie informacji w SAP Cloud SDK for AI (JavaScript) oraz przejęcie piaskownicy między tenantami w SAP/astonish. Naprawione wersje to 0.63.1 dla błędu JWT, 0.50.0 dla Agent Memory i 2.18.0 dla SDK JavaScript.
Źródła
- Improper JWT signature verification in IASContextProvider (SAP (GitHub Security Advisories), 10 listopada 2026, oficjalne)
- Path traversal in Agent Memory module of SAP Cloud SDK for Python (SAP (GitHub Security Advisories), 10 listopada 2026, oficjalne)
- Information disclosure in SAP Cloud SDK for AI (JavaScript) (SAP (GitHub Security Advisories), 10 listopada 2026, oficjalne)
- Cross-tenant sandbox takeover in SAP/astonish (SAP (GitHub Security Advisories), 10 listopada 2026, oficjalne)
Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.