Vulnerabilità Critica in Apache OFBiz

La vulnerabilità CVE-2024-38856, che riguarda un errore di autorizzazione, colpisce tutte le versioni di Apache OFBiz tranne l'ultima. Questa falla può essere sfruttata da attaccanti remoti e non autenticati per eseguire codice arbitrario sui sistemi vulnerabili.

Cos'è Apache OFBiz?

Apache OFBiz è un framework open-source per la pianificazione delle risorse aziendali (ERP), che include applicazioni web per soddisfare le esigenze aziendali comuni, come gestione delle risorse umane, contabilità, gestione dell'inventario e gestione delle relazioni con i clienti.

Dettagli sulla Vulnerabilità

La vulnerabilità è stata scoperta da Hasib Vhora, ricercatore senior presso SonicWall’s Capture Labs, insieme ad altri esperti di sicurezza. Essa colpisce tutte le versioni di Apache OFBiz fino alla v18.12.14. Sebbene la descrizione fornita da Jacques Le Roux, sviluppatore di Apache OFBiz, non entri nei dettagli, Vhora ha pubblicato un'analisi tecnica approfondita.

La scoperta è avvenuta durante l'analisi di una precedente vulnerabilità di traversamento di percorso (CVE-2024-36104), che poteva essere attivata tramite un exploit PoC disponibile pubblicamente. I ricercatori hanno identificato come sfruttare la funzionalità di override view per ottenere accesso non autenticato a un endpoint specifico, combinandola con altri endpoint che non richiedono autenticazione.

Valutazione della Vulnerabilità

Secondo un avviso pubblicato dal Bundesamt für Sicherheit in der Informationstechnik (BSI) tedesco, CVE-2024-38856 ha un punteggio CVSS di base di 9.8 (critico) e un punteggio temporale di 8.5 (alto). Vhora ha dichiarato: “CVE-2024-38856 espone endpoint critici a attori minacciosi non autenticati attraverso una richiesta appositamente creata, aprendo la strada all'esecuzione remota di codice.”

Aggiornamenti e Raccomandazioni

La correzione per questa vulnerabilità è stata implementata nella versione v18.12.15, rilasciata quasi un mese fa, e la sua efficacia è stata confermata. Gli utenti sono fortemente invitati ad aggiornare le loro installazioni il prima possibile, soprattutto in considerazione di un recente rapporto del SANS Internet Storm Center, che avverte di attaccanti che tentano di sfruttare un'altra vulnerabilità di traversamento di percorso (CVE-2024-32113) che colpisce le versioni di OFBiz fino alla v18.12.12.

Considerazioni Finali

Johannes Ullrich, Dean of Research presso il SANS Technology Institute, ha osservato: “OFBiz sembra essere molto meno diffuso rispetto alle alternative commerciali. Tuttavia, proprio come con qualsiasi altro sistema ERP, le organizzazioni si affidano a esso per dati aziendali sensibili, rendendo la sicurezza di questi sistemi ERP fondamentale.”

SonicWall ha dichiarato che il team di Apache OFBiz ha sviluppato una correzione per CVE-2024-38856 entro 24 ore dalla scoperta della vulnerabilità e al momento non risultano sfruttamenti attivi della falla.