Apache OFBiz の認可の不備の脆弱性（CVE-2024-38856）

何が起きた

業務管理ソフトの Apache OFBiz に、ログインしていない人が使える入口から、いくつかの条件がそろうと、本来は権限の確認が必要な画面の処理を動かせてしまう弱点が見つかりました。CISA によると、ログイン不要の攻撃者が Groovy という言語で書いた命令を送り込み、OFBiz の動作の権限でプログラムを実行できる可能性があります。攻撃者はネットワーク経由で、ログインもせず、利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache OFBiz を使っている組織が対象です。影響を受けるのは 18.12.14 までのバージョンです。

何をすればいい

Apache OFBiz を 18.12.15 以降に更新されているか確認してください。Apache は 18.12.15 への更新をすすめていて、OFBiz のセキュリティのページには、その後の版で直ったほかの弱点も載っています。必ず公式の案内を確認し、手順に従って更新してください。

やることチェックリスト

• OFBiz の今のバージョンを調べる
• OFBiz を 18.12.15 以降に更新する
• セキュリティのページで後の修正版も見る

用語メモ

Groovy

Java の仕組みの上で動くプログラミング言語です。OFBiz の中でも使われています。

権限

その人がシステムで何をしてよいかという決まりです。権限の確認が抜けると、許されていない操作ができてしまいます。