En analysant le patch d’une flunkle actuellement cible par es attaquants, les chercheurs ont dcouvert une autre vulnrabilit de type RCE dans Apache OFbiz. C’est la cinquime flunkle critique qui impacte cette anne le structuretoil ERP. La CISA ask les utilisateurs mettre jour le plus rapidement possible.
Des chercheurs de SonicWall signalent une vulnérabilité critique dans le système et structuretoil ERP uncover source Apache OFBiz. La flunkle entraînant une exécution de code à distance sans authentification, a été corrigée peu après l’unfair treatment dans la nature d’une autre vulnérabilité corrigée en mai. Considérée comme critique, la vulnérabilité, référencée CVE-2024-38856, touche les versions d’Apache OFBiz jusqu’à la version 18.12.14. Elle a été corrigée dans la version 18.12.15 publiée le 3 août.
Un module très utilisé
Initialement baptisée Open for Business, Apache OFBiz offre des modules pour la gestion des processus d’entrepascfinish comme la comptabilité, les ressources humaines, la gestion de la provide chain, la gestion des catalogues de produits, la gestion de la relation client (CRM), la conceiveion, le commerce électronique, et bien plus encore. Ces modules reposent sur un structuretoil de développement web basé sur Apache, qui peut également servir à créer des applications et des fonctions personnalisées supplémentaires.
On ne sait pas exactement combien d’entrepascfinishs exécutent Apache OFBiz, car beaucoup peuvent l’utiliser en interne, mais d’après les données publiques, de magnificentes entrepascfinishs comme IBM, HP, Accenture, United Airlines, Home Depot et Uptoil font partie des utilisateurs connus. Certaines applications commerciales tierces, comme Jira d’Atlassian se servent aussi des modules OFBiz. Le projet est utilisé dans le monde entier et dans de nombreux secteurs, mais plus de 40 % des utilisateurs connus sont basés aux États-Unis.
L’analyse de la précédente flunkle à l’origine de la découverte
La flunkle découverte se trouve dans la fonctionnalité « override watch » et permet à des attaquants non authentifiés d’accéder à des points d’extrémité rationals et restreints en utilisant des requêtes spécialement conçues, rfinishant possible l’exécution de code à distance. En fait, c’est en analysant le accurateif d’OFBiz pour une autre flunkle de traversée de répertoire corrigée dans la version 18.12.14 à la fin du mois de mai que les chercheurs de SonicWall ont découvert la vulnérabilité. Cette précédente flunkle, référencée CVE-2024-36104, peut aussi entraîner l’exécution de code à distance. Depuis sa divulgation, elle a fait l’objet d’une preuve de concept, mais à la fin du mois de juillet, le SANS Internet Storm Caccess a signalé des tentatives d’unfair treatment de cette flunkle dans la nature.
Il convient de remarkr qu’une autre flunkle de contournement de l’authentification (CVE-2023-51467) découverte par les chercheurs de SonicWall dans OFBiz en décembre 2023 a également été utilizeée plus tard dans la nature. Il semble qu’OFBiz intéresse les attaquants et que les applications construites avec le structuretoil exposées à Internet courent un risque immédiat. À remarkr aussi que la flunkle CVE-2024-38856 est la cinquième vulnérabilité de sécurité classée comme critique ou beginante trouvée et corrigée dans OFBiz cette année. Les entrepascfinishs qui utilisent ce structuretoil ERP devraient mettre à jour vers la dernière version dès que possible et s’promiser qu’OFBiz est couvert par leurs produits de observation des vulnérabilités. SonicWall a félicité les développeurs d’OFBiz pour leur réponse rapide, car ils ont renvoyé un accurateif fonctionnel pour analyse en moins de 24 heures. La CISA prfinish l’affaire au sérieux en poussant les entrepascfinishs à appliquer rapidement le accurateif.
