CVE-2024-38856highbajo ataqueCWE-863

CVE-2024-38856: fallo de gravedad alta en Apache OFBiz

Apache OFBiz: Unauthenticated endpoint could allow execution of screen rendering code

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache OFBiz

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.1epss 99%
de la publicación al armael mismo día
Publicada en NVD5 ago
1ª PoC10 abr
metasploit30 may
CISA KEV+22d
Acción exigida por CISAplazo federal: 2024-09-17

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Apache OFBiz permite que usuarios no autenticados ejecuten código de renderización de pantallas en ciertos endpoints cuando las verificaciones de permisos no están explícitas. Esto podría permitir que atacantes eludan controles de seguridad y accedan a funcionalidades sensibles sin iniciar sesión.

Detalle técnico

Vulnerabilidad CWE-863 (Autorización Incorrecta) en Apache OFBiz ≤18.12.14 permite acceso no autenticado a endpoints de renderización de pantallas cuando las definiciones de pantallas carecen de validación de permisos explícita. El vector de ataque requiere acceso de red a los endpoints afectados; la explotación ocurre cuando las pantallas dependen únicamente de la configuración del endpoint para autorización. El impacto incluye ejecución de código no autorizada y posible exposición de datos o comprometimiento del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Incorrect Authorization vulnerability in Apache OFBiz. This issue affects Apache OFBiz: through 18.12.14. Users are recommended to upgrade to version 18.12.15, which fixes the issue. Unauthenticated endpoints could allow execution of screen rendering code of screens if some preconditions are met (such as when the screen definitions don't explicitly check user's permissions because they rely on the configuration of their endpoints).
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Productos afectados
Apache Software Foundation · Apache OFBiz
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache OFBiz

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-45195CRITICALApache OFBiz: Confused controller-view authorization logic (forced browsing)EPSS 100.0%KEVCVE-2024-32113CRITICALApache OFBiz: Path traversal leading to RCEEPSS 99.9%KEVCVE-2021-26295—RCE vulnerability in latest Apache OFBiz due to Java serialisation using RMIEPSS 97.8%CVE-2024-45507HIGHApache OFBiz: Prevent use of URLs in files when loading them from Java or Groovy, leading to a RCEEPSS 96.4%CVE-2023-51467—Apache OFBiz: Pre-authentication Remote Code Execution (RCE) vulnerabilityEPSS 96.0%CVE-2023-49070—Pre-auth RCE in Apache Ofbiz 18.12.09 due to XML-RPC still presentEPSS 95.4%