CVE-2024-32113とは？Apache OFBizの脆弱性をわかりやすく解説

ひとことでApache OFBiz で、本来入れない場所のファイルにたどり着ける弱点があります
深刻度9.8 緊急CVSS v3.1
まずやることApache OFBiz を 18.12.13 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2024-32113
製品	Apache OFBiz
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-08-07
米国政府機関の対応期限	2024-08-28
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

業務システムの Apache OFBiz に、本来は制限されている場所のファイルや機能にたどり着けてしまう弱点（パストラバーサル）が見つかりました。CISA によると、これを悪用して攻撃者のプログラムを動かせる（リモートコード実行）可能性があります。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache OFBiz を使っている組織です。影響を受けるのは 18.12.13 より前のバージョンです。

何をすればいい

Apache OFBiz を 18.12.13 以降に更新してください。Apache OFBiz の公式の案内では、その後も別の脆弱性の修正版が出ているため、できるだけ新しいバージョンにすることも検討してください。詳しくは Apache OFBiz のセキュリティのページを確認してください。

やることチェックリスト

Apache OFBiz を 18.12.13 以降に更新する
使っている OFBiz のバージョンを確かめる
セキュリティのページで新しい修正版を確かめる

用語メモ

パストラバーサル用語集で見る: ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。
リモートコード実行用語集で見る: 離れた場所にいる攻撃者が、相手の機器で好きなプログラムを動かせてしまうことです。

次に読む

同じ製品・メーカーの脆弱性Apache OFBiz（CVE-2024-45195）7.5 重要CVSS v3.1Apache OFBiz で、ログインせずに見てはいけない画面を開ける弱点同じ製品・メーカーの脆弱性Apache OFBiz（CVE-2024-38856）9.8 緊急CVSS v3.1Apache OFBiz で、ログインなしで画面の処理を動かされるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache OFBiz Path Traversal Vulnerability

概要

Apache OFBiz contains a path traversal vulnerability that could allow for remote code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Apache OFBiz のパストラバーサルの脆弱性（CVE-2024-32113）