PT-2024-8602 · Apache · Apache Ofbiz

Marimoo.Eth + 2 · Publicado 2024-11-16 · Atualizado 2024-11-21 · CVE-2024-48962

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.9

Alta

Vetor base

AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/AU:N/R:U/V:C/RE:H/U:Amber

Nome do software vulnerável e versões afetadas

Versões do Apache OFBiz anteriores à 18.12.17

Descrição

O problema está relacionado ao controle inadequado da geração de código, permitindo a injeção de código, e envolve também falsificação de solicitação entre sites (CSRF) e neutralização inadequada de elementos especiais utilizados em um mecanismo de modelos. Isso poderia permitir que um invasor remoto realizasse um ataque de falsificação de solicitação do lado do servidor (SSRF).

Recomendações

Para versões anteriores à 18.12.17, atualize para a versão 18.12.17 para corrigir o problema. Como solução temporária, considere restringir o acesso aos componentes vulneráveis até que a atualização possa ser aplicada.

Correção

Code Injection

CSRF

Enumeração de Fraquezas

CWE-1336

CWE-94

CWE-352

Identificadores relacionados

BDU:2024-10171

CVE-2024-48962

Produtos afetados

Apache Ofbiz

Referências · 21

• https://nvd.nist.gov/vuln/detail/CVE-2024-48962 · Nota de Segurança
• https://t.me/cvedetector/11300 · Publicação no Telegram
• https://twitter.com/Dinosn/status/1859108914844868645 · Publicação no Twitter
• https://github.com/advisories/GHSA-ffrw-8p66-394j · Nota
• https://ofbiz.apache.org/security.html · Aviso do Fabricante, Correção
• https://lists.apache.org/thread/6sddh4pts90cp8ktshqb4xykdp6lb6q6 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1857806914337276382 · Publicação no Twitter
• https://cvedetails.com/cve/CVE-2024-48962 · Nota
• https://twitter.com/fridaysecurity/status/1859050300293959864 · Publicação no Twitter
• https://ofbiz.apache.org/download.html · Nota
• https://twitter.com/CVEnew/status/1858431582362877958 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/11/16/2 · Nota
• https://twitter.com/the_yellow_fall/status/1859048531241431527 · Publicação no Twitter
• https://issues.apache.org/jira/browse/OFBIZ-13162 · Nota
• https://t.me/pentestingnews/53416 · Publicação no Telegram