CVE-2026-76969: Kritisk hul i SAP cds-mtxs
Kritisk sårbarhed i @sap/cds-mtxs lader uautoriserede angribere stjæle nøgler og slette tenant-data. Opdater biblioteket nu.
Hvad er det?
CVE-2026-76969 er en sårbarhed i NPM-biblioteket @sap/cds-mtxs, som bruges i multitenant CAP-applikationer (Cloud Application Programming, SAP’s udviklingsramme til flerlejer-systemer) med udvidelsesfunktion aktiveret. Fejlen er klassificeret som CWE-522, utilstrækkelig beskyttelse af følsomme oplysninger. En angriber, der ikke behøver at logge ind, kan sende specielt udformede forespørgsler til applikationen og på den måde få adgang til følsomme adgangsoplysninger. Disse kan efterfølgende bruges til at erstatte eller slette data hos en eller flere lejere (tenants) i systemet.
Hvem rammer det?
Sårbarheden rammer virksomheder, der udvikler eller driver multitenant-applikationer baseret på SAP’s CAP-ramme med biblioteket @sap/cds-mtxs, og hvor udvidelsesfunktionen (extensibility) er aktiveret. Det gælder typisk SAP BTP-kunder og softwareleverandører, der bygger flerlejer-SaaS-løsninger til flere kunder på samme kodebase, for eksempel danske softwarehuse eller store virksomheder med egenudviklede SAP-udvidelser.
Hvad kan ske?
En angriber kan uden login hente følsomme adgangsoplysninger fra applikationen og bruge dem til at slette eller ombytte data hos kunder (tenants) i systemet. For en dansk virksomhed kan det betyde tab af kundedata, driftsstop for flere kunder på samme platform samtidig og et tilliidsbrud, hvis kunderne finder ud af, at deres data er blevet manipuleret eller slettet uden varsel.
Hvor alvorligt er det?
CVSS-scoren er 9,4 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen rettigheder og ingen brugerhandling, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er høj for integritet (data kan ændres eller slettes) og høj for tilgængelighed (systemet kan sættes ud af drift), mens fortroligheden af forretningsdata kun er delvist påvirket. Der er ikke oplyst om aktiv udnyttelse i det åbne, men kombinationen af lav kompleksitet og ingen krav om autentificering gør sårbarheden meget attraktiv at angribe.
Hvad gør jeg nu?
Følgende punkter bør gennemføres i den angivne rækkefølge:
- Opdater @sap/cds-mtxs til den nyeste version, hvor fejlen er rettet, i alle applikationer, hvor biblioteket bruges.
- Tjek SAP’s officielle sikkerhedsmeddelelser for den konkrete rettede version og eventuelle yderligere konfigurationsråd.
- Gennemgå adgangslogfiler for usædvanlige forespørgsler mod extensibility-funktioner i perioden op til opdateringen.
- Begræns netværksadgangen til de endepunkter, der håndterer tenant-udvidelser, indtil opdateringen er gennemført.
- Roter alle adgangsoplysninger, der kan have været eksponeret, herunder API-nøgler og databaseadgangskoder til tenant-data.
- Kontakt SAP support eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at rettelsen er implementeret korrekt, eller hvis I finder tegn på misbrug.
Opdater inden for 24 timer
Vi anbefaler, at I opdaterer @sap/cds-mtxs til den nyeste version så hurtigt som muligt, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Det er kun forsvarligt at vente, hvis jeres applikation ikke bruger multitenant-funktionen med udvidelsesmuligheder aktiveret. Er I i tvivl om, hvorvidt jeres opsætning er ramt, bør I få en teknisk gennemgang lavet, før I beslutter at vente.
Tidslinje
Konkrete eksempler
SaaS-udbyder med flere kunder på samme platform
En dansk softwareleverandør driver en regnskabs-SaaS-løsning bygget på SAP’s CAP-ramme, hvor hver kunde har sin egen tenant. En angriber sender en specielt udformet forespørgsel mod udvidelsesfunktionen uden at logge ind og får adgang til adgangsoplysninger til tenant-databaserne. Angriberen bruger derefter oplysningerne til at slette regnskabsdata for flere kunder samtidig, hvilket medfører driftsstop og krav om nødberedskab hos leverandøren.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger @sap/cds-mtxs?
Tjek jeres package.json eller lockfile i de multitenant CAP-applikationer, I har udviklet eller driver. Er @sap/cds-mtxs listet som afhængighed, og har I aktiveret udvidelsesfunktionen (extensibility), er I potentielt ramt.
Kan vi vente med at opdatere til weekenden?
Det kan vi ikke anbefale. Sårbarheden kan udnyttes uden login og uden brugerinteraktion, og CVSS-scoren på 9,4 er blandt de højeste. Opdater så hurtigt som muligt, gerne inden for et døgn.
Er vores kunder direkte i fare, hvis vi ikke opdaterer?
Ja. En angriber kan slette eller ombytte data hos jeres kunder (tenants), hvis de er hostet på en sårbar version af applikationen. Det kan medføre datatab og driftsstop for flere kunder samtidig.
Skal vi anmelde noget til myndighederne?
Hvis I finder tegn på, at credentials faktisk er blevet misbrugt og persondata er kompromitteret eller slettet, kan der være anmeldelsespligt efter databeskyttelsesreglerne. Vi anbefaler, at I vurderer dette konkret sammen med jeres databeskyttelsesrådgiver.
Hvordan ved vi, om vi allerede er blevet angrebet?
Gennemgå logfiler for usædvanlige forespørgsler mod extensibility-endepunkter, især forespørgsler uden gyldig session eller med uventede parametre. Uventet ændrede eller manglende tenant-data er også et advarselstegn.
Hvad koster det at lade være med at opdatere?
Prisen kan blive høj: tab af kundedata, driftsstop for flere kunder på samme platform og et tillidsbrud, der kan påvirke jeres relation til kunderne. Opdateringen selv er som regel hurtig og billig i sammenligning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
@sap/cds-mtxs NPM library does not perform sufficient checks on certain functionality used in multitenant CAP applications with extensibility enabled. An unauthenticated attacker could send specially crafted requests to obtain sensitive credentials and abuse them to replace or delete tenant data. Successful exploitation can result in a high impact on availability and integrity of the application. There may also be partial impact to the confidentiality of business data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.