CVE-2024-38856

A falha é um problema de autorização incorreta no Apache OFBiz até a 18.12.14. Determinados endpoints que deveriam ser não autenticados não impõem adequadamente as verificações de permissão antes de renderizar telas e, onde as definições de tela dependem da configuração do endpoint em vez de verificarem elas mesmas as permissões do usuário, um atacante não autenticado pode invocar lógica de renderização de telas que não deveria alcançar. Encadeado adequadamente, essa exposição permite ao atacante conduzir a aplicação a executar código, portanto o impacto prático é a execução remota de código contra uma instância em configuração padrão.

O OFBiz é um framework de ERP e e-commerce de código aberto que sustenta o gerenciamento de pedidos, a contabilidade e os dados de clientes, portanto uma instância comprometida expõe registros de negócio sensíveis e pode servir de pivô para o ambiente ao redor. Esta CVE decorre de um padrão de contorno de autorização que já foi repetidamente sondado no OFBiz, e código de exploração público circulou após a divulgação, portanto implantações expostas à internet devem ser tratadas como alvo. Atualize para a 18.12.15 ou posterior, mantenha a aplicação atrás de controles de acesso em vez de abertamente exposta e revise o host em busca de execução inesperada de processos e os logs da aplicação em busca de requisições anômalas a endpoints de controle e visualização.