「Apache OFBiz」にRCE脆弱性 - 修正版がリリース

オープンソースのビジネスアプリケーションスイート「Apache OFBiz」に深刻な脆弱性が明らかとなった。開発チームは修正版を提供している。

Apache Software Foundationは現地時間2026年11月5日にセキュリティアドバイザリを公開し、「ログインページウィジェット」におけるコードインジェクションの脆弱性「CVE-2026-83542」について明らかにした。

細工した画面定義用の「XMLファイル」をアップロードし、外部から画面の構成を指定する内部設定を操作することで、不正な「XML」を読み込ませることが可能。「XML」に含まれるスクリプト言語「Groovy」の式がサンドボックス外で評価され、サーバ上で任意のコードが実行されるおそれがある。

サーバ上にファイルを保存する必要はなく、データの送信処理中に悪用が可能で、ログイン時の認証失敗画面を生成する処理などが悪用されるという。またログイン画面経由以外も同様に悪用できることが確認されており、実行したコマンドの結果がHTTPレスポンスとして返されるという。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」と評価している。

「同24.09.08」において脆弱性を修正した。同バージョンでは「CVE-2026-83542」のほか、45件の脆弱性にも対処している。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-66903
CVE-2026-68524
CVE-2026-71901
CVE-2026-73577
CVE-2026-73578
CVE-2026-73580
CVE-2026-74841
CVE-2026-76150
CVE-2026-76152
CVE-2026-81734
CVE-2026-81744
CVE-2026-81808
CVE-2026-81815
CVE-2026-81816
CVE-2026-81828
CVE-2026-82894
CVE-2026-82902
CVE-2026-82904
CVE-2026-82907
CVE-2026-82910
CVE-2026-82912
CVE-2026-82916
CVE-2026-82960
CVE-2026-83538
CVE-2026-83542
CVE-2026-84183
CVE-2026-84728
CVE-2026-85627
CVE-2026-92887
CVE-2026-97355
CVE-2026-97356
CVE-2026-100168
CVE-2026-100228
CVE-2026-105325
CVE-2026-105330
CVE-2026-105461
CVE-2026-109129
CVE-2026-109837
CVE-2026-109856
CVE-2026-109928
CVE-2026-114229
CVE-2026-114233
CVE-2026-114235
CVE-2026-114271
CVE-2026-114272
CVE-2026-114277

（Security NEXT - 2026/11/06 ）ツイート

「Apache OFBiz」にRCE脆弱性 - 修正版がリリース

関連リンク

PR

関連記事