CISA KEV 警告 24/08/27：Apache OFBiz の脆弱性 CVE-2024-38856 を登録

CISA Warns of Actively Exploited Apache OFBiz CVE-2024-38856 Vulnerability, PoC Available

2024/08/27 SecurityOnline — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、オープンソースの ERP (enterprise resource planning) システムとして人気を博している、Apache OFBiz に存在する脆弱性 CVE-2024-38856 (CVSS：9.8) を KEV (Known Exploited Vulnerabilities) カタログに追加した。

CVE-2024-38856 は、認証を必要としないリモート・コード実行の脆弱性である。この脆弱性は、Apache OFBiz 18.12.15 未満のバージョンに影響を及ぼすため、古いバージョンのソフトウェアを使用している組織に重大なリスクをもたらす。

この脆弱性の根本的な原因は、Apache OFBiz の認証メカニズム内の欠陥にある。具体的には、この欠陥により、認証されていないユーザーであっても、通常はログイン・ユーザーに制限されている機能にアクセスできるようになる。いったん侵入した攻撃者は、このアクセスを悪用して、侵害したシステム上で任意のコードを実行し、システムの完全な乗っ取りを引き起こす可能性を手にする。

CVE-2024-38856 を発見／報告したセキュリティ企業の SonicWall は、この脆弱性が Apache OFBiz のオーバーライド・ビュー機能に存在することを強調している。この致命的な弱点により、重要なエンドポイントが未認証の攻撃者に露呈する。したがって攻撃者は、特別に細工したリクエストを送ることで、この脆弱性を悪用できるようになる。

この脆弱性に対しては、SecureLayer7 のサイバー・セキュリティ研究者である Zeyad Azima と Youssef Muhammad が、GitHub で PoC エクスプロイト・コードを公開している。この PoC では、この脆弱性の悪用方法が具体的に示されているため、サイバー犯罪者たちによる攻撃が容易になっている。

CVE-2024-38856 の深刻度が高く、その悪用も活発である。それを受けて CISA は、Apache OFBiz を使用している全ての連邦政府機関に対して、2024年9月17日までにバージョン 18.12.15 以降に更新するよう強く求めている。

これらのアップデートの適用を怠ると、システムが攻撃に対して脆弱な状態になり、データ漏洩やサービスの中断などの、深刻な結果を招く可能性がある。

Apache OFBiz の脆弱性 CVE-2024-38856 に関しては、2024/08/04 の「Apache OFBiz の RCE 脆弱性 CVE-2024-38856 が FIX：ただちにパッチを！」と、2024/08/07  の「Apache OFBiz の RCE 脆弱性 CVE-2024-38856：PoC エクスプロイトが提供された」が、すでにポストされています。そして、CISA KEV に登録されたわけですが、これまでの記事も多くの方に読んでいただいています。この脆弱性に、ご注意ください。