PT-2024-1832 · Apache · Apache Ofbiz

Arun Shaji · Publicado 2024-01-17 · Atualizado 2024-09-17 · CVE-2024-23946

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache OFBiz anteriores à 18.12.12

Descrição

O problema diz respeito a uma possível exploração de traversal de caminho no Apache OFBiz, permitindo a inclusão de arquivos. Essa vulnerabilidade pode permitir que invasores remotos divulguem informações confidenciais em instalações afetadas do Apache OFBiz. Não é necessária autenticação para explorar essa vulnerabilidade.

Recomendações

Para versões anteriores à 18.12.12, atualize para a versão 18.12.12 para corrigir o problema. Como solução temporária, considere restringir o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração.

Correção

Generation of Error Message Containing Sensitive Information

Path traversal

Information Disclosure

Unrestricted File Upload

Enumeração de Fraquezas

CWE-209

CWE-22

CWE-200

CWE-434

Identificadores relacionados

BDU:2024-01577

CVE-2024-23946

ZDI-24-183

Produtos afetados

Apache Ofbiz

Referências · 23

• https://zerodayinitiative.com/advisories/ZDI-24-183 · Nota de Segurança
• https://issues.apache.org/jira/browse/OFBIZ-12884 · Aviso do Fabricante
• https://twitter.com/fofabot/status/1763143080549687744 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1763024042087612530 · Publicação no Twitter
• https://t.me/cvenotify/90397 · Publicação no Telegram
• https://vuldb.com/ru/?id.254439 · Nota
• https://ofbiz.apache.org/security.html · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2024022314 · Nota
• https://lists.apache.org/thread/w4lp5ncpzttf41hn5bsc04mzq4o6lw3g · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/02/28/9 · Nota
• https://ofbiz.apache.org/release-notes-18.12.12.html · Aviso do Fabricante
• https://t.me/cvenotify/73609 · Publicação no Telegram
• https://twitter.com/oss_security/status/1762860145682317324 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1762868332783407176 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-23946 · Nota de Segurança