5 اگست 2026 کو Novee کے محققین نے Lidor Ben Shitrit کی قیادت میں Black Hat USA میں اپنا کام پیش کیا، جس میں چار انٹرپرائز Java پلیٹ فارمز میں بارہ کمزوریاں ظاہر کی گئیں، جن میں دو سنگین سلسلے شامل ہیں جو کسی لاگ اِن کے بغیر سرور پر کوڈ چلانے کی اجازت دیتے ہیں، ایک Bonita BPM ورک فلو پلیٹ فارم میں اور دوسرا Apache OFBiz میں جو اوپن سورس ERP ہے۔ ہر کاروباری مالک کے لیے عملی سبق یہ ہے: جس سسٹم کو آپ اندرونی ہونے کی وجہ سے محفوظ سمجھتے ہیں، اگر وہ بے نقاب اور بغیر پیچ کے ہو تو براؤزر کی دو درخواستوں سے اس تک پہنچا جا سکتا ہے۔ حقیقی تحفظ اس فہرست سے شروع ہوتا ہے کہ آپ کیا چلا رہے ہیں اور پیچ لگانے کے ایک معمول سے، نہ کہ نیٹ ورک کی حد پر بھروسے سے۔

محققین کو اصل میں کیا ملا

یہ تحقیق کسی ایک حیران کن بگ پر نہیں بنی تھی۔ یہ مڈل ویئر کی چھوٹی اور عام غلطیوں کو جوڑ کر بنائی گئی: URL کو پارس کرنے کے طریقے میں فرق، درخواستیں سنبھالنے والی تہہ پر نامکمل تحفظ، سورس کوڈ میں ہارڈ کوڈ کی گئی کرپٹوگرافک کیز، اور ٹیمپلیٹ کی غیر محفوظ جانچ۔ ان میں سے کوئی بھی الگ سے خطرناک نہیں لگتی، اور یہی وجہ ہے کہ یہ کوڈ ریویو سے بچ نکلتی ہیں اور کم ترجیح کے طور پر درج کر دی جاتی ہیں۔ جب انہیں ایک ساتھ جوڑا جائے تو یہ گمنام وزیٹر سے لے کر سرور پر کمانڈ چلانے تک ایک مکمل راستہ بنا دیتی ہیں۔ بارہ کمزوریوں میں سے چار تصدیق سے پہلے کام کرتی ہیں اور ایک ایگزیکیوشن سینڈ باکس کے اندر کی علیحدگی کو توڑ دیتی ہے۔

BadBonita سلسلہ: تین کمزور نکات مل کر ایک مکمل قبضہ بناتے ہیں

پہلا سلسلہ Bonita BPM کے ورژن 10.4.3 کو متاثر کرتا ہے۔ یہ تصدیق کو بائی پاس کرنے سے شروع ہوتا ہے جو تین جڑی ہوئی کمزوریوں سے بنتا ہے: ..; علامت کے ذریعے پاتھ ٹریورسل، ایک سیکیورٹی فلٹر جو پورے پاتھ کے بجائے اس کے ایک حصے سے میل کھاتا ہے، اور درخواستوں کو اندرونی طور پر آگے بھیجنے کی منطق۔ نتیجہ یہ ہوتا ہے کہ ایک درخواست ایسی اندرونی API تک پہنچ جاتی ہے جسے باہر کسی کو کبھی دیکھنا ہی نہیں تھا۔ وہ API ناقابلِ اعتماد XML قبول کرتی ہے اور اسے سیدھا XStream لائبریری کو دے دیتی ہے جو اسے ڈی سیریلائز کرتی ہے، اور Commons Collections کے ایک معروف گیجٹ سلسلے کے ذریعے یہ راستہ سرور پر Groovy کمانڈز چلنے پر ختم ہوتا ہے۔

غور کریں کہ ان میں سے کسی بھی قدم کے لیے لیک شدہ پاس ورڈ، سوشل انجینئرنگ یا پہلے سے رسائی درکار نہیں۔ حملہ آور کو بس اتنا چاہیے کہ سسٹم نیٹ ورک پر قابلِ رسائی ہو۔

OFBiz: ایک کھلی ریپوزیٹری میں شائع شدہ سائننگ کی

دوسرا مسئلہ، جسے CVE-2026-31986 کے طور پر ٹریک کیا گیا اور سنگین درجہ دیا گیا، Apache OFBiz کے ورژن 24.09.05 کو متاثر کرتا ہے جب سنگل سائن آن فعال ہو۔ مسئلہ یہ ہے کہ ڈیفالٹ سائننگ کیز عوامی طور پر شائع شدہ سورس کوڈ میں موجود ہیں، اور چونکہ بہت سی تنصیبات ڈیفالٹ کو جوں کا توں چھوڑ دیتی ہیں، حملہ آور کسی ایڈمنسٹریٹر اکاؤنٹ کے نام پر ایک درست SSO ٹوکن جعلی طور پر بنا سکتا ہے۔ وہاں سے درخواست ایک ممنوعہ فہرست سے گزر جاتی ہے جس نے java، process اور import جیسے الفاظ کو روکنے کی کوشش کی تھی، لیکن یہ فہرست حروف کے چھوٹے بڑے ہونے میں فرق کرتی تھی اور مخصوص پیٹرنز کو چیک کرتی تھی، اس لیے کسی حرف کا کیس بدلنا یا خودکار طور پر امپورٹ ہونے والی کلاس کا متبادل نام استعمال کرنا اس سے بچ نکلنے کے لیے کافی ہے۔ حتمی نتیجہ: SSO چلانے والی کسی بھی تنصیب پر کوڈ ایگزیکیوشن تک پہنچنے کے لیے بغیر تصدیق کی دو GET درخواستیں کافی ہیں۔

یہ خاص طور پر آپ کے لیے کیوں اہم ہے

کیونکہ ان میں سے کوئی بھی معمولی ٹول نہیں۔ OFBiz ایک اوپن سورس ERP ہے جسے بہت سی کمپنیاں انوینٹری، خریداری اور انوائسنگ چلانے کے لیے استعمال کرتی ہیں، اور Bonita ایک ورک فلو انجن ہے جو اندرونی منظوریوں اور طریقہ کار کو چلاتا ہے۔ جو کوئی ان دو جگہوں تک پہنچ جائے وہ صرف ڈیٹا نہیں پڑھ رہا، بلکہ آپ کے آپریٹنگ سائیکل کے بیچ میں کھڑا ہے: خریداری کے آرڈرز، سپلائرز کی قیمتیں، ملازمین کے ریکارڈ، صارفین کی تاریخ۔ محققین نے بتایا کہ دونوں فراہم کنندگان نے نوے دن کی معیاری انکشاف مدت کے اندر درست شدہ ریلیزز جاری کر دیں، جس کا مطلب ہے کہ اپ ڈیٹ موجود ہے اور ذمہ داری اب اس پر ہے جو سسٹم چلاتا ہے، نہ کہ اس پر جس نے اسے بنایا۔

مارکیٹ میں اصل خلا پیچز کی کمی نہیں، بلکہ فہرست کی کمی ہے۔ بہت سے اداروں کے پاس اس کی کوئی تازہ فہرست نہیں کہ وہ واقعی کیا چلا رہے ہیں، کس ورژن پر، اور کس ڈومین پر۔ چنانچہ ایک پرانی اسٹیجنگ کاپی کسی بھولے ہوئے سب ڈومین پر دو سال تک لٹکی رہتی ہے اور وہ دروازہ بن جاتی ہے جس کے بارے میں کسی نے سوچا ہی نہیں۔

اس ہفتے کیا کریں

  • اپنے سسٹمز کی فہرست بنائیں: ہر اس سسٹم کی تحریری فہرست جو آپ چلاتے ہیں، اس کا ورژن، آیا وہ انٹرنیٹ پر بے نقاب ہے، اور نام کے ساتھ اس کا ذمہ دار کون ہے۔
  • اگر آپ Bonita یا OFBiz میں سے کوئی بھی چلاتے ہیں تو انہیں فوراً درست شدہ ریلیزز پر اپ ڈیٹ کریں، اور اپ گریڈ سے پہلے Apache کا سرکاری سیکیورٹی صفحہ پڑھیں۔
  • پروڈکٹ کے ساتھ آنے والی ہر ڈیفالٹ انکرپشن یا سائننگ کی کو تبدیل کریں۔ دستاویزات میں چھپی ہوئی کوئی بھی قدر راز نہیں ہوتی۔
  • ایڈمن گیٹ ویز کو کھلے انٹرنیٹ کے لیے بند کریں اور ان تک نجی نیٹ ورک یا پتوں کی ایک مختصر اجازت یافتہ فہرست کے ذریعے پہنچیں۔
  • پرانی اسٹیجنگ کاپیاں اور غیر استعمال شدہ سب ڈومینز ختم کریں۔ یہ سب سے آسان ہدف ہیں اور سب سے کم نگرانی میں رہتے ہیں۔
  • رسائی کی لاگنگ فعال کریں اور اسے محفوظ رکھیں۔ لاگز کے بغیر آپ بعد میں یہ جواب نہیں دے سکیں گے کہ آیا کوئی اندر آیا بھی تھا یا نہیں۔

انجینئرنگ کا سبق: اندرونی نیٹ ورک سیکیورٹی کی حد نہیں

اس تحقیق سے نکلنے والی سب سے اہم سفارش یہ ہے کہ اندرونی روٹنگ کو انٹرنیٹ کی سطح کے کنٹرولز کے ساتھ برتا جائے۔ یہ پرانا خیال کہ فائر وال کے پیچھے سب کچھ محفوظ ہے، عملی طور پر ناکام ہو چکا ہے: تصدیق کو بائی پاس کرنے والی ایک ہی کمزوری ہر اندرونی اینڈ پوائنٹ کو عوامی بنا دیتی ہے۔ اس سے تین انجینئرنگ اصول نکلتے ہیں، اور ان کی جگہ آپ کے ڈیولپمنٹ معیارات میں ہے:

کسی خطرناک عمل کو بچانے کے لیے کبھی ممنوعہ فہرست پر انحصار نہ کریں۔ اگر کسی کوڈ پاتھ میں ایکسپریشن کی جانچ درکار نہیں تو اسے فلٹر کرنے کی کوشش کے بجائے مکمل طور پر ہٹا دیں۔

دوسرا اصول یہ ہے کہ کسی حساس عمل کو کبھی ایسی سیٹنگ یا صارف کی ترجیح سے مشروط نہ کریں جسے سسٹم کے اندر سے بدلا جا سکے۔ تیسرا یہ ہے کہ تصدیقی فلٹر کی منطق میں کسی بھی جزوی میل (substring matching) کا آڈٹ کریں، کیونکہ اس قسم کی کمزوریوں میں یہ سب سے زیادہ دہرائی جانے والی اور سب سے آسانی سے فائدہ اٹھائی جانے والی غلطی ہے۔ جب ہم Origami میں نئے کاروباری سسٹمز بناتے ہیں تو اسے بطورِ ڈیفالٹ لاگو کرتے ہیں: ہر اینڈ پوائنٹ پر واضح اجازت، اور نیٹ ورک پر درخواست کے مقام سے کوئی بھروسہ اخذ نہیں کیا جاتا۔

سعودی عرب میں ضابطہ جاتی پہلو

اگر متاثرہ سسٹم مملکت کے اندر افراد کا ذاتی ڈیٹا رکھتا ہے تو یہ معاملہ خالصتاً تکنیکی نہیں رہتا۔ ذاتی ڈیٹا کے تحفظ کا قانون (PDPL) کنٹرولر کو پابند کرتا ہے کہ وہ اس ڈیٹا کی حفاظت کے لیے ضروری اقدامات کرے اور ان واقعات کی اطلاع دے جو اس کی رازداری کو متاثر کریں۔ نیشنل سائبر سیکیورٹی اتھارٹی (NCA) بنیادی کنٹرولز شائع کرتی ہے جو کمزوریوں کے انتظام، پیچنگ اور اثاثوں کے انتظام کا احاطہ کرتے ہیں، اور یہی وہ کنٹرولز ہیں جو اس سلسلے کو روک دیتے۔ کسی ایسی پروڈکٹ کا پرانا ورژن چلانا جس کی کمزوری معلوم ہے اور پہلے ہی پیچ ہو چکی ہے، ایسا موقف ہے جس کا کسی بھی آڈٹ میں دفاع مشکل ہے۔

سادہ اصول: سیکیورٹی اپ ڈیٹس کو ایک ماہانہ آپریشنل عہد سمجھیں جس کا ایک ذمہ دار اور ایک تاریخ ہو، نہ کہ کسی واقعے کے بعد انجام دیا جانے والا ہنگامی کام۔

ذرائع

  • Help Net Security — لاگ اِن سے پہلے RCE سلسلوں اور CVE-2026-31986 کی تفصیلات: helpnetsecurity.com
  • Apache OFBiz کا سرکاری سیکیورٹی صفحہ: ofbiz.apache.org/security.html
  • نیشنل سائبر سیکیورٹی اتھارٹی (NCA) — کنٹرولز اور ضابطہ جاتی فریم ورکس: nca.gov.sa
  • سعودی ڈیٹا اینڈ آرٹیفیشل انٹیلیجنس اتھارٹی (SDAIA) — ذاتی ڈیٹا کے تحفظ کا قانون (PDPL): sdaia.gov.sa