「Apache OFBiz」の脆弱性が標的に - 今月2件目の悪用リスト追加

オープンソースのビジネスアプリケーションスイート「Apache OFBiz」に判明した脆弱性「CVE-2024-38856」が悪用されているとして、米当局が注意喚起を行った。

「CVE-2024-38856」は認可不備の脆弱性。開発チームでは、重要度を4段階中上から2番目にあたる「重要（Important）」とし、現地時間8月3日にリリースした「同18.12.15」で修正している。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、同脆弱性が悪用されているとして現地時間8月27日に「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

「CVE-2024-38856」は、リモートよりコードの実行が可能となる「CVE-2024-36104」の修正をバイパスできることに起因。アップデートのリリース数日後より実証コード（PoC）が出回っていた。

脆弱性を発見したSonicWallの研究者は、悪用されるとリモートよりコードを実行されるおそれがあるとし、共通脆弱性評価システム「CVSSv3」のベーススコアを「9.8」と評価。一方、CISAではCVSS基本値を「8.1」としている。

「Apache OFBiz」に関しては、4月のアップデートで修正されたパストラバーサルの脆弱性「CVE-2024-32113」についても悪用が確認されており、現地時間8月7日に「KEV」へ追加されていた。

（Security NEXT - 2024/08/28 ）ツイート