Vulnerabilità RCE pre-auth in Bonita e OFBiz: 12 falle critiche in enterprise Java

Vulnerabilità critiche in Bonita BPM e Apache OFBiz: remote code execution pre-auth

Ricercatori di sicurezza di Novee hanno scoperto gravi vulnerabilità in Bonita BPM e Apache OFBiz, due piattaforme enterprise Java ampiamente utilizzate, che permettono l'esecuzione remota di codice senza autenticazione. Le vulnerabilità sono state presentate al Black Hat USA 2026, evidenziando come un singolo request web possa bypassare i meccanismi di sicurezza e consentire l'esecuzione di codice arbitrario sui server.

Bonita BPM: bypass delle protezioni e code execution

Bonita BPM, utilizzato da banche, compagnie assicurative e agenzie governative per processi critici come approvazioni di prestiti e onboarding del personale, presenta una vulnerabilità che permette a un attaccante di accedere a un'API interna senza autenticazione. La versione interessata è la 10.4.3.

Il meccanismo di attacco sfrutta tre falle nelle protezioni tra la superficie API pubblica e quella interna. Un singolo indirizzo web può aggirare questi controlli:

• Primo controllo: Un segmento di percorso scritto come ..; passa il filtro di sicurezza ma Tomcat interpreta il punto e virgola come un passaggio a un livello superiore della directory, instradando la richiesta alla superficie interna.
• Secondo controllo: Un nome di applicazione fabbricato nel percorso soddisfa sia il filtro di autenticazione che quello CSRF, che smettono di leggere al sottostringa abbinato.
• Terzo controllo: Protegge solo richieste dirette, ma non quelle inoltrate internamente, permettendo alla richiesta di passare inosservata.

Una volta all'interno dell'API interna, l'attaccante può sfruttare la libreria XStream, che trasforma XML in oggetti Java live, per eseguire codice arbitrario. La catena di attacco ricostruisce una catena di gadget da classi Commons Collections, bypassando i controlli di sicurezza e raggiungendo una chiamata Groovy che esegue un comando.

Apache OFBiz: token falsificati e code execution

Apache OFBiz, versione 24.09.05, presenta una vulnerabilità critica (CVE-2026-31986) che permette l'esecuzione di codice remoto non autenticato. La vulnerabilità sfrutta un chiave di firma predefinita, presente nel repository pubblico, utilizzata per firmare i token di single sign-on e i token di callback del widget engine.

Un attaccante può:

• Firmare un token con la chiave predefinita, impostando l'utente come admin, ottenendo così i diritti di amministratore.
• Modificare una preferenza di accessibilità per abilitare l'esecuzione di Groovy nel token di callback.
• Inserire un comando Groovy nel token, bypassando una lista di denylist che non controlla maiuscole o prefissi noti.

Questo permette l'esecuzione di codice arbitrario con due semplici richieste GET non autenticate su qualsiasi installazione OFBiz con single sign-on attivato.

Difficoltà di rilevamento e mitigazione

Le catene di attacco sono costruite con componenti che, singolarmente, sembrano innocui. Un scanner di firme non ha nulla da abbinare, e un modello generico potrebbe segnalare una possibile deserializzazione ma non dimostrare che il sink è raggiungibile. L'esploit risiede nel modo in cui le parti si collegano.

Per prevenire simili vulnerabilità, è essenziale:

• Rafforzare il routing interno come se fosse esposto su Internet.
• Rimuovere primitive di esecuzione non sicure.
• Assicurarsi che una preferenza di rendering non controlli l'accesso a funzioni pericolose come eval.
• Ogni componente deve essere difeso individualmente, ma è la connessione tra di essi che può portare a esecuzione di codice non autorizzato.

Risposta dei vendor e audit consigliati

Novee ha segnalato tutte le vulnerabilità ai progetti interessati e ha collaborato con loro prima della pubblicazione. Bonita e OFBiz hanno rilasciato nuove versioni per affrontare queste vulnerabilità specifiche, con OFBiz particolarmente reattivo nel processo di rimedio. Entrambi i vendor hanno completato le correzioni entro il periodo standard di 90 giorni per la divulgazione.

Altre due piattaforme enterprise Java sono state auditate ma non sono state menzionate nella presentazione. Sebbene non siano state fornite aggiornate recenti da questi vendor, le vulnerabilità in Bonita e OFBiz sono state considerate le più critiche.

Per verificare la sicurezza del proprio stack, è fondamentale controllare:

• Configurazioni web che proteggono richieste dirette ma passano quelle inoltrate.
• Filtri che escludono corrispondenze su sottostringhe.
• Chiavi di firma che autorizzano funzionalità separate.
• Liste di denylist che proteggono valutatori di script.
• Preferenze che controllano l'accesso a codice pericoloso.

Ogni singolo componente può passare un audit, ma quando combinati, possono permettere l'esecuzione di codice non autorizzato.

Implicazioni per la sicurezza enterprise

Queste vulnerabilità sottolineano l'importanza di un approccio proattivo alla sicurezza delle applicazioni enterprise. Le piattaforme Java enterprise spesso integrano componenti che, sebbene sicuri individualmente, possono creare vulnerabilità quando combinati in modi non previsti. Un audit completo e una comprensione approfondita delle interazioni tra componenti sono essenziali per prevenire simili fallite di sicurezza.

Le organizzazioni che utilizzano Bonita BPM e Apache OFBiz dovrebbero aggiornare immediatamente alle versioni più recenti e condurre audit di sicurezza per identificare e correggere eventuali configurazioni non sicure. Inoltre, è consigliabile adottare pratiche di sicurezza avanzate, come il rafforzamento del routing interno e la rimozione di primitive di esecuzione non sicure, per proteggere le proprie infrastrutture da attacchi simili.