• ひとことでApache OFBiz で、ログインせずに見てはいけない画面を開ける弱点
  • 深刻度7.5 重要CVSS v3.1
  • まずやることApache OFBiz の版を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-45195
製品Apache OFBiz
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2025-02-04
米国政府機関の対応期限2025-02-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-425（強制ブラウズ）

何が起きた

業務システムの Apache OFBiz に、本来は許可がないと開けない場所へ、アドレスを直接指定して入れてしまう弱点（強制ブラウジング）が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。CISA は、この弱点が実際の攻撃に使われたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が OFBiz にネットワーク経由で接続する → 2. 許可が必要な場所のアドレスを直接送る → 3. ログインせずにその機能を使われる1攻撃者が OFBiz にネットワーク経由で接続する2許可が必要な場所のアドレスを直接送る3ログインせずにその機能を使われる攻撃の流れ: 1. 攻撃者が OFBiz にネットワーク経由で接続する → 2. 許可が必要な場所のアドレスを直接送る → 3. ログインせずにその機能を使われる1攻撃者が OFBiz にネットワーク経由で接続する2許可が必要な場所のアドレスを直接送る3ログインせずにその機能を使われる攻撃の流れ: 1. 攻撃者が OFBiz にネットワーク経由で接続する → 2. 許可が必要な場所のアドレスを直接送る → 3. ログインせずにその機能を使われる1攻撃者が OFBiz にネットワーク経由で接続する2許可が必要な場所のアドレスを直接送る3ログインせずにその機能を使われる

誰が影響を受ける

Apache OFBiz の 18.12.16 より前のバージョンを使っている組織が対象です。

何をすればいい

Apache は 18.12.16 への更新をすすめています。18.12.16 以降に更新されているか確認してください。Apache OFBiz のセキュリティのページなど、公式の案内も確認してください。

やることチェックリスト

  • Apache OFBiz の版を確認する
  • 18.12.16 以降に更新する
  • 更新後に版が上がったことを確認する

用語メモ

強制ブラウジング
画面のリンクをたどらず、アドレスを直接入力して、本来は許可が必要な場所を開こうとする攻撃です。

次に読む

同じ製品・メーカーの脆弱性Apache OFBiz（CVE-2024-38856）9.8 緊急CVSS v3.1Apache OFBiz で、ログインなしで画面の処理を動かされるおそれがある弱点です。同じ製品・メーカーの脆弱性Apache OFBiz（CVE-2024-32113）9.8 緊急CVSS v3.1Apache OFBiz で、本来入れない場所のファイルにたどり着ける弱点があります基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache OFBiz Forced Browsing Vulnerability

概要

Apache OFBiz contains a forced browsing vulnerability that allows a remote attacker to obtain unauthorized access.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る