Vergessene Middleware als Einfallstor<\/p>\n
Enterprise-Java-Systeme werden seit rund zwei Jahrzehnten weiterentwickelt und mit Updates versorgt. Dennoch bleiben nach Angaben der Forscher immer wieder L\u00fccken bestehen \u2013 meist nicht in der Kernanwendung selbst, sondern in Komponenten, die im Hintergrund arbeiten: Router, Servlet-Dispatcher, Single-Sign-On-Handler, Template-Engines oder Serialisierungsbibliotheken. Diese Bauteile wurden urspr\u00fcnglich nicht daf\u00fcr entwickelt, mit nicht vertrauensw\u00fcrdigen Eingaben umzugehen. Sie liegen strukturell zwischen dem \u00f6ffentlichen Zugang eines Systems und internen Diensten, die eigentlich davon ausgehen, von au\u00dfen nicht erreichbar zu sein. Genau diese Annahme erweist sich laut den Forschern regelm\u00e4\u00dfig als Schwachpunkt:<\/p>\n
Eine intern gedachte Funktion wird \u00fcber einen ungesch\u00fctzten Einstiegspunkt zug\u00e4nglich, ein Ausf\u00fchrungsziel macht daraus eine vollst\u00e4ndige Codeausf\u00fchrung ohne vorherige Anmeldung.<\/p>\n
Erste Kette: Bonita BPM<\/p>\n
Bonita ist eine quelloffene Plattform f\u00fcr Gesch\u00e4ftsprozessmanagement mit grafischem Workflow-Generator, Aufgabenverwaltung und Anbindungen an Systeme wie SAP, Salesforce oder LDAP-Verzeichnisse. Sie kommt unter anderem im Banken- und Versicherungswesen, in Beh\u00f6rden und in der Telekommunikationsbranche zum Einsatz \u2013 etwa bei Kreditfreigaben, der Bearbeitung von Schadensf\u00e4llen oder der Einarbeitung neuer Mitarbeiter. Die Software l\u00e4uft typischerweise auf Java 11 aufw\u00e4rts, mit Tomcat als Anwendungsserver, dem Spring-Framework sowie den Bibliotheken XStream und Groovy. Bonita bietet zwei Programmierschnittstellen: einen \u00f6ffentlichen Bereich, der eine Anmeldung sowie einen Schutz gegen Cross-Site-Request-Forgery voraussetzt, und eine interne Schnittstelle, die eigentlich nur per Basisauthentifizierung erreichbar sein soll. \u00dcber diese interne Schnittstelle werden eingehende Daten roh \u00fcber die Bibliothek XStream verarbeitet, die f\u00fcr ihren nachl\u00e4ssigen Umgang mit Objekttypen bekannt ist. F\u00fcr die Forscher stellte sich deshalb von Anfang an weniger die Frage, ob sich XStream missbrauchen l\u00e4sst, sondern ob sich der Weg dorthin ohne Anmeldung \u00fcberhaupt erreichen l\u00e4sst.<\/p>\n
Die Forscher fanden einen Weg, drei voneinander unabh\u00e4ngige Schutzmechanismen mit einer einzigen, speziell aufgebauten URL gleichzeitig zu umgehen:<\/p>\n
Eine Komponente zur URL-Normalisierung interpretiert die Zeichenfolge \u201e..;\u201c anders als der Anfrage-Verteiler von Tomcat, wodurch sich der gesch\u00fctzte Pfad verschleiern l\u00e4sst.
\nZwei Sicherheitsfilter pr\u00fcfen Anfragen mit einer Funktion, die bereits bei einer Teil\u00fcbereinstimmung \u201ewahr\u201c zur\u00fcckgibt, statt die vollst\u00e4ndige Zeichenkette abzugleichen.
\nIn der Konfigurationsdatei fehlt f\u00fcr die interne Schnittstelle ein Eintrag, der auch weitergeleitete Anfragen erfassen w\u00fcrde \u2013 nur direkte Zugriffe sind abgesichert.<\/p>\n
Da keiner dieser drei Mechanismen mit den anderen kommuniziert, reicht eine einzelne, entsprechend pr\u00e4parierte Anfrage aus, um alle drei gleichzeitig zu umgehen und die interne Schnittstelle ohne jede Anmeldung zu erreichen. Die Forscher ordnen die zugrunde liegende Parser-Problematik einer Fehlerklasse zu, die bereits 2018 auf der Black Hat USA \u00f6ffentlich vorgestellt wurde, hier jedoch in neuen Codepfaden der Anwendung auftaucht. Von der internen Schnittstelle aus f\u00fchrt der weitere Weg \u00fcber die Deserialisierungsbibliothek XStream: Deren Typpr\u00fcfung war so freiz\u00fcgig eingestellt, dass beliebige Objekttypen zugelassen wurden. In Kombination mit einer bekannten Kette weiterverwendbarer Programmierbausteine \u2013 sogenannter Gadgets \u2013 l\u00e4sst sich daraus eine vollst\u00e4ndige Codeausf\u00fchrung auf dem Server konstruieren, noch bevor die eigentliche Anfrage verarbeitet ist. Insgesamt setzt sich diese erste Angriffskette damit aus f\u00fcnf einzelnen Schwachstellen zusammen: dem Parser-Unterschied, der Filterumgehung durch Teil\u00fcbereinstimmung, der fehlenden Weiterleitungspr\u00fcfung, der zu freiz\u00fcgigen Deserialisierung sowie einer zus\u00e4tzlichen Umgehung einer bereits bestehenden Absicherung der verwendeten Gadget-Kette.<\/p>\n
![\"\"](\"https:\/\/www.europesays.com\/ch-de\/wp-content\/uploads\/2026\/08\/image-1024x568-1.png\")
<\/a><\/p>\n