Apache OFBiz, オープンソースのエンタープライズ リソース プランニング (ERP) システム, 新たに発掘されたものの餌食になった ゼロデイ セキュリティの脆弱性. この欠陥, CVE-2023-51467 として識別されました, システムのログイン機能内に存在します, 脅威アクターが認証保護機能を悪用してバイパスする潜在的な経路を作り出す.
CVE-2023-51467 の詳細
問題の根本は、以前に重大な脆弱性に対する不完全なパッチに遡ることができます。, CVE-2023-49070, CVSS スコアが高く、 9.8. 今月初めに CVE-2023-49070 に対処する取り組みが行われたにもかかわらず, セキュリティ対策が誤って行われ、認証バイパスのためにドアが開いたままになった, その後、CVE-2023-51467 が発見されました。. SonicWall Capture Labs 脅威研究チーム, この欠陥を明らかにする責任がある, CVE-2023-49070 の不完全なパッチ適用により、根本的な問題が存続する可能性があることが明らかになりました。, 認証バイパスを容易にする.
CVE-2023-49070, 以前のバージョンに影響を与える事前認証されたリモート コード実行の欠陥 18.12.10, 攻撃者にサーバーに対する完全な制御を許可し、機密データが抽出される可能性があるため、重大なリスクが生じます。. この欠陥は、Apache OFBiz 内の非推奨の XML-RPC コンポーネントに起因します。.
SonicWall は、CVE-2023-51467 のエクスプロイト メカニズムの概要を説明しました。, 空または無効な USERNAME および PASSWORD パラメータを使用して HTTP リクエストを送信することでトリガーできることを示しています. このアクションにより、認証成功メッセージが表示されます, 効果的に保護を回避し、内部リソースへの不正アクセスを提供します。. 攻撃の成功はパラメータに依存します “パスワード変更が必要” に設定されている “Y” URLで, 簡単な認証バイパスを可能にする, ユーザー名とパスワードのフィールドに入力された値に関係なく.
サーバー側のリクエスト フォージェリを有効にするものとして説明されています (SSRF), この欠陥により、攻撃者は認証を回避できます。, Apache OFBiz インスタンスのセキュリティに重大な脅威をもたらす.
アップデートは重要です
これらの脆弱性に対応して, ユーザーは、Apache OFBiz インストールを次のバージョンに更新することを強くお勧めします。 18.12.11 または後ですぐに. Shadowserver Foundation は緊急性を強調しています, CVE-2023-49070 を標的としたエクスプロイトの試みが急増していることが指摘されています。.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: