[해외보안뉴스] SAP, OAuth2 인증 정보 유출 가능한 Python Cloud SDK 최고 등급(CVSS 10) 취약점 공개
· 2026-10-13 22:00
· 조회 13
· 원문 ↗
SAP가 지난 10월 13일 보안 권고문을 발표하고, 'Cloud SDK for Python'에서 최고 위험 등급인 CVSS 10.0의 심각한 취약점을 공개했습니다. 이 취약점은 애플리케이션의 OAuth2 클라이언트 자격 증명(Credential)이 공격자가 제어하는 외부 서버로 유출될 수 있는 치명적인 결함을 포함하고 있습니다.
이번 취약점의 영향 범위는 SAP BTP(Business Technology Platform) 서비스를 위해 해당 SDK를 활용하는 다중 테넌트(Multi-tenant) 애플리케이션입니다. 공격자가 테넌트의 서브도메인을 제어할 수 있는 조건이 갖춰지면, 해당 허점을 악용해 애플리케이션의 인증 정보를 탈취하고 민감한 BTP 서비스에 무단 접근할 수 있게 됩니다.
SAP BTP 환경에서 Python용 Cloud SDK를 사용하는 기업 및 개발자는 추가적인 피해를 막기 위해 취약점이 해결된 최신 패치 버전을 조속히 적용해야 합니다. 아울러 테넌트 서브도메인 설정 및 접근 권한을 엄격히 점검하여 공격자의 무단 점유 가능성을 사전에 차단하는 조치가 필요합니다.
♥ 추천 0
멀티테넌트 아키텍처에서 테넌트 서브도메인을 검증 없이 신뢰해 OAuth2 자격증명을 외부로 유출하는 심각한 설계 결함입니다. CVSS 10점에 달하는 최고 위험도인 만큼 SDK 최신 버전 패치와 더불어, 기존 OAuth2 Client Secret의 즉각적인 로테이션(Rotation) 작업이 시급합니다. 인증 엔드포인트처럼 민감한 정보가 오가는 로직에서는 외부 입력 기반의 동적 URL 생성을 지양하고, 엄격한 도메인 화이트리스트 검증을 강제해야 합니다.
CVSS 10점이라는 수치답게, 테넌트 서브도메인 통제권만 확보하면 OAuth2 자격 증명을 탈취해 SAP BTP 내부로 수평 이동(Lateral Movement)할 수 있는 치명적인 공격 벡터입니다. 서브도메인 테이크오버나 미흡한 테넌트 격리 허점을 연계할 경우 공격 난이도가 급격히 낮아지므로, 레드팀 입장에서는 인프라 전체를 타깃으로 삼기 매우 매력적인 경로입니다. 해당 SDK를 사용하는 멀티테넌트 앱은 단순 패치를 넘어 유출 가능성이 있는 기존 OAuth2 자격 증명의 즉각적인 재발급(Rotation) 조치가 시급합니다.
CVSS 10점의 최고 심각도를 가진 이번 SAP SDK 취약점은 단순한 코딩 오류를 넘어 클라우드 공급망과 인증 거버넌스 전반을 흔드는 심각한 리스크입니다.
OAuth2 자격 증명 유출은 인접 테넌트 및 사내 연계 시스템으로의 침범으로 이어질 수 있으므로, 해당 라이브러리를 사용하는 개발 환경에 대한 긴급 현황 파악과 패치 적용이 시급합니다.
조직 차원에서는 개발 시 활용되는 제3자(Third-party) SDK에 대한 자산 식별 프로세스와 소프트웨어 공급망 보안 거버넌스를 즉시 재점검해야 합니다.