Pada 5 Ogos 2026, penyelidik dari Novee yang diketuai oleh Lidor Ben Shitrit membentangkan kajian di Black Hat USA yang mendedahkan dua belas kerentanan merentasi empat platform Java perusahaan, termasuk dua rantaian kritikal yang membolehkan pelaksanaan kod pada pelayan tanpa sebarang log masuk, iaitu dalam platform aliran kerja Bonita BPM dan dalam Apache OFBiz, ERP sumber terbuka. Pengajaran praktikal bagi setiap pemilik perniagaan: sistem yang anda anggap dilindungi kerana ia sistem dalaman boleh dicapai dengan dua permintaan pelayar jika ia terdedah dan belum ditampal. Perlindungan sebenar bermula dengan inventori apa yang anda jalankan dan rutin penampalan, bukan dengan kepercayaan terhadap sempadan rangkaian.

Apa yang sebenarnya ditemui oleh penyelidik

Kajian ini tidak dibina atas satu pepijat yang luar biasa. Ia dibina dengan menggabungkan kesilapan middleware yang kecil dan biasa: perbezaan cara URL dihuraikan, perlindungan yang tidak lengkap pada lapisan pengendalian permintaan, kunci kriptografi yang dikodkan terus (hardcoded) dalam kod sumber, dan penilaian templat yang tidak selamat. Secara berasingan, tiada satu pun kelihatan berbahaya, dan itulah sebabnya kesilapan ini terlepas daripada semakan kod dan direkodkan sebagai keutamaan rendah. Apabila dirantai bersama, ia menghasilkan laluan lengkap daripada pelawat tanpa nama hingga pelaksanaan arahan pada pelayan. Daripada dua belas kerentanan tersebut, empat berfungsi sebelum pengesahan dan satu memecahkan pengasingan di dalam sandbox pelaksanaan.

Rantaian BadBonita: tiga titik lemah menghasilkan satu penjejasan penuh

Rantaian pertama menjejaskan Bonita BPM versi 10.4.3. Ia bermula dengan pintasan pengesahan yang dibina daripada tiga kelemahan yang saling berkait: path traversal menggunakan notasi ..;, penapis keselamatan yang memadankan berdasarkan subrentetan dan bukannya laluan penuh, serta logik pemajuan permintaan dalaman. Hasilnya, satu permintaan sampai ke API dalaman yang tidak sepatutnya dilihat oleh sesiapa pun dari luar. API itu menerima XML yang tidak dipercayai dan menghantarnya terus ke pustaka XStream, yang menyahsirikannya, dan melalui rantaian gadget Commons Collections yang terkenal, laluan ini berakhir dengan arahan Groovy yang berjalan pada pelayan.

Perhatikan bahawa tiada satu pun langkah ini memerlukan kata laluan yang bocor, kejuruteraan sosial, atau akses terdahulu. Apa yang diperlukan oleh penyerang hanyalah sistem itu boleh dicapai melalui rangkaian.

OFBiz: kunci tandatangan yang diterbitkan dalam repositori terbuka

Isu kedua, yang dijejaki sebagai CVE-2026-31986 dan dinilai kritikal, menjejaskan Apache OFBiz versi 24.09.05 apabila log masuk tunggal diaktifkan. Masalahnya, kunci tandatangan lalai terdapat dalam kod sumber yang diterbitkan secara umum, dan oleh kerana banyak pemasangan membiarkan tetapan lalai tanpa diubah, penyerang boleh memalsukan token SSO yang sah atas nama akaun pentadbir. Dari situ, permintaan melepasi senarai larangan (denylist) yang cuba menyekat perkataan seperti java, process dan import, tetapi senarai itu sensitif huruf besar-kecil dan hanya menyemak corak tertentu, jadi menukar huruf besar-kecil satu huruf atau menggunakan nama kelas alternatif yang diimport secara automatik sudah memadai untuk melepasinya. Hasil akhirnya: dua permintaan GET tanpa pengesahan sudah memadai untuk mencapai pelaksanaan kod pada mana-mana pemasangan yang menjalankan SSO.

Mengapa ini penting khususnya kepada anda

Kerana kedua-duanya bukan alat sampingan. OFBiz ialah ERP sumber terbuka yang digunakan oleh banyak syarikat untuk mengurus inventori, perolehan dan invois, manakala Bonita ialah enjin aliran kerja yang menggerakkan kelulusan dan prosedur dalaman. Sesiapa yang sampai ke dua tempat itu bukan sekadar membaca data, dia berdiri di tengah-tengah kitaran operasi anda: pesanan pembelian, harga pembekal, rekod pekerja, sejarah pelanggan. Penyelidik melaporkan bahawa kedua-dua vendor telah mengeluarkan versi yang dibaiki dalam tempoh pendedahan standard sembilan puluh hari, yang bermakna kemas kini sudah ada dan tanggungjawab kini terletak pada pihak yang mengendalikan sistem, bukan pihak yang membinanya.

Jurang sebenar dalam pasaran bukanlah ketiadaan tampalan, tetapi ketiadaan inventori. Banyak organisasi tidak mempunyai senarai terkini tentang apa yang sebenarnya mereka jalankan, pada versi apa, dan pada domain mana. Akibatnya, salinan staging lama terus tergantung pada subdomain yang dilupakan selama dua tahun dan menjadi pintu yang tidak pernah difikirkan oleh sesiapa.

Apa yang perlu dilakukan minggu ini

  • Buat inventori sistem anda: senarai bertulis setiap sistem yang anda jalankan, versinya, sama ada ia terdedah kepada internet, dan siapa pemiliknya mengikut nama.
  • Kemas kini Bonita dan OFBiz ke keluaran yang telah dibaiki dengan segera jika anda menjalankan salah satu daripadanya, dan baca halaman keselamatan rasmi Apache sebelum menaik taraf.
  • Gantikan setiap kunci penyulitan atau tandatangan lalai yang disertakan bersama produk. Sebarang nilai yang tercetak dalam dokumentasi bukanlah rahsia.
  • Tutup get laluan pentadbir daripada internet terbuka dan capainya melalui rangkaian persendirian atau senarai benar alamat yang pendek.
  • Tamatkan salinan staging lama dan subdomain yang tidak digunakan. Ia adalah sasaran paling mudah dan paling kurang dipantau.
  • Hidupkan pengelogan akses dan simpan log tersebut. Tanpa log, anda tidak akan dapat menjawab kemudian sama ada sesiapa pernah masuk atau tidak.

Pengajaran kejuruteraan: rangkaian dalaman bukan sempadan keselamatan

Cadangan paling penting yang lahir daripada kajian ini ialah penghalaan dalaman perlu dilayan dengan kawalan setaraf internet. Idea lama bahawa apa sahaja di sebalik firewall adalah selamat telah gagal dalam amalan: satu kelemahan pintasan pengesahan menjadikan setiap titik akhir dalaman awam. Tiga peraturan kejuruteraan terhasil daripadanya, dan ia wajar dimasukkan dalam piawaian pembangunan anda:

Jangan sekali-kali bergantung pada senarai larangan untuk melindungi operasi yang berbahaya. Jika penilaian ungkapan tidak diperlukan dalam sesuatu laluan kod, buang sepenuhnya dan bukannya cuba menapisnya.

Peraturan kedua ialah jangan sekali-kali menyandarkan operasi sensitif pada bendera tetapan atau keutamaan pengguna yang boleh diubah dari dalam sistem. Peraturan ketiga ialah mengaudit logik penapis pengesahan untuk sebarang padanan subrentetan, kerana itulah kesilapan yang paling kerap berulang dan paling mudah dieksploitasi dalam kelas ini. Apabila kami membina sistem perniagaan baharu di Origami, kami menerapkannya secara lalai: kebenaran yang jelas pada setiap titik akhir, dan tiada kepercayaan yang diperoleh daripada kedudukan permintaan dalam rangkaian.

Sudut kawal selia di Arab Saudi

Jika sistem yang dijejaskan menyimpan data peribadi individu di dalam Kerajaan Arab Saudi, ini bukan lagi isu teknikal semata-mata. Undang-Undang Perlindungan Data Peribadi (PDPL) mewajibkan pengawal untuk mengambil langkah yang perlu bagi melindungi data tersebut dan melaporkan insiden yang menjejaskan privasinya. Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) menerbitkan kawalan penting yang merangkumi pengurusan kerentanan, penampalan dan pengurusan aset, iaitu tepat kawalan yang akan menghentikan rantaian ini. Menjalankan versi lama sesuatu produk dengan kerentanan yang diketahui dan sudah ditampal ialah kedudukan yang sukar dipertahankan dalam mana-mana audit.

Peraturan mudahnya: layan kemas kini keselamatan sebagai komitmen operasi bulanan dengan pemilik dan tarikh, bukan sebagai tugas kecemasan yang dilakukan selepas insiden.

Sumber

  • Help Net Security — butiran rantaian RCE tanpa pengesahan dan CVE-2026-31986: helpnetsecurity.com
  • Halaman keselamatan rasmi Apache OFBiz: ofbiz.apache.org/security.html
  • Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) — kawalan dan rangka kerja kawal selia: nca.gov.sa
  • Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) — Undang-Undang Perlindungan Data Peribadi (PDPL): sdaia.gov.sa