CVE-2024-38856

La falla es un problema de autorización incorrecta en Apache OFBiz hasta la 18.12.14. Ciertos endpoints que deberían ser no autenticados no hacen cumplir adecuadamente las comprobaciones de permisos antes de renderizar pantallas y, donde las definiciones de pantalla dependen de la configuración del endpoint en lugar de comprobar por sí mismas los permisos del usuario, un atacante no autenticado puede invocar lógica de renderizado de pantallas que no debería alcanzar. Encadenada apropiadamente, esa exposición permite a un atacante llevar la aplicación a ejecutar código, así que el impacto práctico es la ejecución remota de código contra una instancia con configuración predeterminada.

OFBiz es un marco de ERP y comercio electrónico de código abierto que sustenta la gestión de pedidos, la contabilidad y los datos de clientes, de modo que una instancia comprometida expone registros de negocio sensibles y puede servir como punto de pivote hacia el entorno circundante. Este CVE proviene de un patrón de elusión de autorización que ha sido sondeado repetidamente en OFBiz, y el código de explotación público circuló tras la divulgación, así que los despliegues expuestos a internet deben tratarse como objetivos. Actualice a 18.12.15 o posterior, mantenga la aplicación detrás de controles de acceso en lugar de abiertamente expuesta, y revise el host en busca de ejecución de procesos inesperada y los registros de la aplicación en busca de solicitudes anómalas a endpoints de control y de vista.