最近の脆弱性 › CVE-2024-45195
Apache OFBiz の脆弱性（CVE-2024-45195）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2024-45195 |
|---|---|
| 製品 | Apache OFBiz |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2025-02-04 |
| 米国政府機関の対応期限 | 2025-02-25 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-425 |
何が起きた
業務システムの Apache OFBiz に、本来は許可がないと開けない場所へ、アドレスを直接指定して入れてしまう弱点（強制ブラウジング）が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。CISA は、この弱点が実際の攻撃に使われたことを確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache OFBiz の 18.12.16 より前のバージョンを使っている組織が対象です。
何をすればいい
Apache は 18.12.16 への更新をすすめています。18.12.16 以降に更新されているか確認してください。Apache OFBiz のセキュリティのページなど、公式の案内も確認してください。
やることチェックリスト
- Apache OFBiz の版を確認する
- 18.12.16 以降に更新する
- 更新後に版が上がったことを確認する
用語メモ
- 強制ブラウジング
- 画面のリンクをたどらず、アドレスを直接入力して、本来は許可が必要な場所を開こうとする攻撃です。
元データ（英語・CISA KEV より）
Apache OFBiz Forced Browsing Vulnerability
概要
Apache OFBiz contains a forced browsing vulnerability that allows a remote attacker to obtain unauthorized access.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.