Apache OFBiz ERP 中的新零日漏洞允许远程代码执行

Apache OFBiz 开源企业资源规划 （ERP） 系统中披露了一个新的零日预认证远程代码执行漏洞，该漏洞可能允许威胁行为者在受影响的实例上实现远程代码执行。

该漏洞被跟踪为 CVE-2024-38856，CVSS 评分为 9.8 分（满分 10.0 分）。它会影响 18.12.15 之前的 Apache OFBiz 版本。

“漏洞的根本原因在于身份验证机制中的缺陷，”发现并报告该缺陷的SonicWall在一份声明中表示。

“此漏洞允许未经身份验证的用户访问通常需要用户登录的功能，为远程代码执行铺平了道路。”

CVE-2024-38856 也是 CVE-2024-36104 的补丁绕过，CVE-2024-36104 是一个路径遍历漏洞，已于 6 月初发布 18.12.14 时得到解决。

SonicWall 将该漏洞描述为存在于覆盖视图功能中，该功能将关键端点暴露给未经身份验证的威胁参与者，他们可以利用它通过特别构建的请求实现远程代码执行。

安全研究员Hasib Vhora说：“通过将ProgramExport端点与滥用覆盖视图功能的任何其他不需要身份验证的端点链接在一起，允许对ProgramExport端点进行未经身份验证的访问。

这一发展是在 OFBiz 中另一个可能导致远程代码执行的关键路径遍历漏洞 （CVE-2024-32113） 之后被积极利用以部署 Mirai 僵尸网络。它于 2024 年 5 月修补。

2023 年 12 月，SonicWall 还披露了同一软件中的一个当时的零日漏洞 （CVE-2023-51467），该漏洞使绕过身份验证保护成为可能。随后，它遭到了大量的开发尝试。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：Apache OFBiz ERP 中的新零日漏洞允许远程代码执行