PT-2024-5362 · Apache · Apache Ofbiz

4Ra1N + 16 · Publicado 2024-08-04 · Atualizado 2025-08-23 · CVE-2024-38856

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache OFBiz até a 18.12.14

Descrição

Este problema afeta o Apache OFBiz, permitindo que terminais não autenticados executem código de renderização de telas caso sejam atendidas determinadas condições prévias, como quando as definições das telas não verificam explicitamente as permissões do usuário. A vulnerabilidade está relacionada a uma autorização incorreta e pode levar à execução remota de código. Ela está sendo ativamente explorada, e exploits de prova de conceito estão disponíveis.

Recomendações

Versões do Apache OFBiz até 18.12.14: atualize para a versão 18.12.15 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a terminais não autenticados para minimizar o risco de exploração.

Exploit

Correção

RCE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BDU:2024-05995

CVE-2024-38856

ZDI-24-1099

Produtos afetados

Apache Ofbiz

Referências · 118

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/http/apache_ofbiz_forgot_password_directory_traversal.rb · Exploit
• 🔥 https://github.com/securelayer7/CVE-2024-38856_Scanner · Exploit
• 🔥 https://github.com/Mr-xn/CVE-2024-32113 · Exploit
• 🔥 https://github.com/0x20c/CVE-2024-38856-EXP · Exploit
• 🔥 https://github.com/XiaomingX/cve-2024-38856-poc · Exploit
• 🔥 https://github.com/ThatNotEasy/CVE-2024-38856 · Exploit
• 🔥 https://github.com/AlissonFaoli/Apache-OFBiz-Exploit · Exploit
• https://github.com/apache/ofbiz-framework/commit/9b20a93c2487cca47392e6489472495ab4719447 · Nota
• https://twitter.com/opsmatters_uk/status/1823875148342001877 · Publicação no Twitter
• https://twitter.com/Loginsoft_Inc/status/1828736506720039295 · Publicação no Twitter
• https://twitter.com/OpenSecCopilot/status/1828639528766316780 · Publicação no Twitter
• https://twitter.com/inthewildio/status/1830937138008912002 · Publicação no Twitter
• https://twitter.com/patchnow24x7/status/1831926968172130696 · Publicação no Twitter
• https://twitter.com/HWGSababa/status/1829167409103811020 · Publicação no Twitter
• https://twitter.com/OpenSecCopilot/status/1828639617102598384 · Publicação no Twitter