Korporativ axborot tizimlarida keng qo‘llaniladigan Enterprise Java platformalarida aniqlangan bir qator xavfli zaifliklar kiberxavfsizlik mutaxassislari e’tiborini tortmoqda. Black Hat USA 2026 konferensiyasida taqdim etilgan yangi tadqiqot natijalariga ko‘ra, bir nechta mashhur Java asosidagi platformalarda jami 12 ta xavfsizlik zaifligi aniqlangan bo‘lib, ularning ayrimlari autentifikatsiyadan o‘tmasdan turib (Pre-Authentication) masofadan kod bajarish (Remote Code Execution – RCE) imkonini beradi.
Tadqiqotchilar zaifliklar aniqlangach, ular ishlab chiquvchilarga Coordinated Vulnerability Disclosure (CVD) tamoyillari asosida mas’uliyat bilan xabar qilinganini va xavfsizlik yangilanishlari tayyorlangandan keyingina ommaga e’lon qilinganini ma’lum qildi.
Middleware platformalari nega kiberjinoyatchilar nishoniga aylanmoqda?
Enterprise Java platformalari ko‘plab davlat idoralari, banklar, sug‘urta kompaniyalari, ishlab chiqarish korxonalari hamda yirik biznes tashkilotlarining muhim biznes jarayonlarini boshqaradi. Ushbu platformalar foydalanuvchilarni autentifikatsiya qilish, biznes jarayonlarini avtomatlashtirish, ma’lumotlar almashinuvi va ichki xizmatlarni boshqarishda asosiy vositalardan biri hisoblanadi.
Biroq amaliyot shuni ko‘rsatmoqdaki, ishlab chiquvchilar faqat ichki foydalanish uchun mo‘ljallangan deb hisoblagan ayrim API va xizmatlar noto‘g‘ri marshrutlash (Routing), autentifikatsiya yoki xavfsizlik sozlamalari sabab tashqi tarmoqlardan ham foydalanish imkonini berishi mumkin. Natijada bir qarashda alohida xavf tug‘dirmaydigan kichik kamchiliklar zanjir ko‘rinishida birlashib, to‘liq masofaviy kod bajarish hujumiga sabab bo‘ladi.
Bonita BPM platformasida autentifikatsiyasiz RCE zanjiri
Tadqiqot davomida Bonita BPM 10.4.3 platformasida bir nechta zaifliklarning o‘zaro uyg‘unlashuvi natijasida yuzaga keladigan xavfli hujum ssenariysi aniqlandi.
Mazkur platformada ommaviy API sessiya va CSRF (Cross-Site Request Forgery) himoyasi bilan himoyalangan bo‘lsa-da, ichki Server API xizmati XML formatidagi ma’lumotlarni XStream kutubxonasi orqali qayta ishlaydi.
Tadqiqotchilar URL manzilida kodlangan nuqtali vergullar (Encoded Semicolons) qo‘llanilganda Tomcat serveri va xavfsizlik filtrlari ushbu so‘rovni turlicha talqin qilishini aniqladi. Natijada xavfsizlik mexanizmi so‘rovni oddiy foydalanuvchi API murojaati sifatida qabul qilsa, Tomcat uni ichki Server API xizmatiga yo‘naltiradi.
Bundan tashqari, autentifikatsiyani tekshiruvchi muntazam ifodalar (Regex) faqat qisman mos keluvchi satrlarni tekshirishi hamda ichki Server API uchun belgilangan cheklovlarning Forward qilingan so‘rovlarga tatbiq etilmasligi hujumchiga autentifikatsiyadan o‘tmagan holda ichki xizmatlarga murojaat qilish imkonini beradi.
Shundan so‘ng XML deserializatsiyasi jarayonida maxsus tayyorlangan obyektlar yordamida tizimda ixtiyoriy buyruqlar bajarilishi mumkin.
Apache OFBiz platformasidagi tanqidiy zaiflik
Ikkinchi jiddiy zaiflik Apache OFBiz 24.09.05 platformasida aniqlangan bo‘lib, u CVE-2026-31986 identifikatori bilan ro‘yxatga olinib, Critical xavflilik darajasi bilan baholangan.
Apache OFBiz korxona resurslarini rejalashtirish (ERP), elektron tijorat, ombor, logistika va moliyaviy jarayonlarni boshqarishda keng qo‘llaniladigan ochiq kodli platforma hisoblanadi.
Tadqiqotchilar platformaning standart konfiguratsiyasida JWT (JSON Web Token) imzolarini tekshirish uchun ishlatiladigan umumiy maxfiy kalit mavjudligini aniqladi.
Agar administrator ushbu standart kalitni almashtirmagan bo‘lsa, hujumchi:
- soxta JWT token yaratishi;
- administrator sifatida tizimga o‘zini tanitishi;
- tizim sozlamalarini o‘zgartirishi;
- keyingi ekspluatatsiya bosqichini ishga tushirishi mumkin.
Shundan so‘ng hujumchi Groovy ifodalari va FreeMarker shablonlari orqali serverda ixtiyoriy kod bajarilishiga erishishi mumkin.
«Denylist» himoyasi yetarli bo‘lmadi
Platformada zararli kodlarni aniqlash uchun ayrim so‘zlarni bloklovchi Denylist mexanizmidan foydalanilgan.
U «java», «process», «class» va «import» kabi kalit so‘zlarni qidirish orqali ekspluatatsiyani to‘xtatishga urinadi.
Biroq Groovy dasturlash tilining imkoniyatlari sabab:
- harf registrini o‘zgartirish;
- muqobil sinf nomlaridan foydalanish;
- import qilingan funksiyalar orqali murojaat qilish
kabi usullar yordamida ushbu cheklovlarni osonlik bilan chetlab o‘tish mumkinligi aniqlandi.
Bu esa «Denylist» yondashuvi murakkab ekspluatatsiyalarga qarshi yetarli himoya bera olmasligini yana bir bor tasdiqladi.
Nega bunday zaifliklar xavfli?
Masofadan kod bajarish (RCE) zaifliklari eng xavfli kiberxavfsizlik muammolaridan biri hisoblanadi.
Bunday zaifliklardan foydalanilgan taqdirda hujumchi:
- server ustidan to‘liq nazoratni qo‘lga kiritishi;
- zararli dasturlarni joylashtirishi;
- maxfiy ma’lumotlarni o‘g‘irlashi;
- foydalanuvchi hisoblarini boshqarishi;
- ransomware hujumlarini amalga oshirishi;
- tarmoqning boshqa qismlariga lateral harakatlanishi (Lateral Movement);
- butun korporativ infratuzilmaga zarar yetkazishi mumkin.
So‘nggi yillarda ko‘plab yirik kiberhujumlar aynan middleware platformalaridagi RCE zaifliklaridan boshlangani ushbu turdagi kamchiliklarning naqadar xavfli ekanini ko‘rsatmoqda.
Tashkilotlar uchun tavsiyalar
Enterprise Java platformalaridan foydalanuvchi tashkilotlarga quyidagi xavfsizlik choralarini amalga oshirish tavsiya etiladi:
- Bonita BPM va Apache OFBiz platformalarining eng so‘nggi xavfsizlik yangilanishlarini o‘rnatish;
- Internet orqali ochiq bo‘lgan barcha middleware xizmatlarini inventarizatsiya qilish;
- ichki API va servislarni tashqi tarmoqlardan to‘liq izolyatsiya qilish;
- standart JWT imzolash kalitlarini darhol almashtirish va barcha maxfiy kalitlarni muntazam rotatsiya qilish;
- autentifikatsiya hamda CSRF himoya mexanizmlarini qayta ko‘rib chiqish;
- URL marshrutlash va xavfsizlik filtrlari normallashtirilgan (normalized) manzillar asosida ishlashini ta’minlash;
- XML deserializatsiyasidan imkon qadar voz kechish yoki faqat qat’iy ruxsat etilgan obyektlar ro‘yxati (Allowlist) asosida foydalanish;
- Java deserializatsiyasi uchun JEP 290 filtrlash mexanizmlarini joriy etish;
- Groovy, FreeMarker va boshqa shablon dvigatellarida foydalanuvchi kiritgan ma’lumotlarning server tomonida bajarilishiga yo‘l qo‘ymaslik;
- tizim jurnallarini muntazam tahlil qilish hamda noodatiy JWT tokenlari, autentifikatsiya urinishlari va server ichidagi g‘ayrioddiy so‘rovlarni doimiy monitoring qilish.
Black Hat USA 2026 konferensiyasida taqdim etilgan ushbu tadqiqot yana bir bor shuni ko‘rsatdiki, zamonaviy kiberhujumlar ko‘pincha bitta zaiflikdan emas, balki marshrutlash, autentifikatsiya, tokenlar, ichki API, deserializatsiya va shablonlarni qayta ishlash mexanizmlaridagi bir nechta kamchiliklarning o‘zaro uyg‘unlashuvi natijasida yuzaga keladi.
Ayniqsa, Bonita BPM va Apache OFBiz platformalarida aniqlangan autentifikatsiyasiz masofadan kod bajarish zanjirlari korporativ Java infratuzilmalarining qanchalik jozibador nishonga aylanganini yana bir bor tasdiqlaydi. Shu sababli tashkilotlar middleware platformalarini oddiy ichki xizmat sifatida emas, balki tashqi tahdidlarga duch kelishi mumkin bo‘lgan muhim hujum yuzasi sifatida baholashi, xavfsizlik yangilanishlarini o‘z vaqtida o‘rnatishi hamda himoya mexanizmlarini muntazam auditdan o‘tkazishi axborot tizimlari barqarorligi va kiberxavfsizligini ta’minlashda muhim ahamiyat kasb etadi.