CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2024-32113

Path Traversal w Apache OFBiz umożliwiający zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2024-05-08upd. 2025-10-23

Krytyczna podatność typu path traversal w Apache OFBiz pozwala nieuwierzytelnionemu atakującemu na wyjście poza dozwolony katalog i dostęp do dowolnych zasobów systemu plików. Podatność jest aktywnie wykorzystywana w środowiskach produkcyjnych, co czyni ją bezpośrednim zagrożeniem dla organizacji korzystających z tego systemu ERP.

▸ Pokaż oryginał (EN)

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache OFBiz.This issue affects Apache OFBiz: before 18.12.13. Users are recommended to upgrade to version 18.12.13, which fixes the issue.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej weryfikacji ścieżek dostępu do plików (CWE-22) — aplikacja nie ogranicza właściwie dostępu do katalogów, umożliwiając atakującemu skonstruowanie spreparowanego żądania HTTP zawierającego sekwencje path traversal (np. '../'). Atakujący może w ten sposób wyjść poza dozwolony katalog aplikacji i uzyskać dostęp do wrażliwych plików systemu operacyjnego lub wykonać nieautoryzowane operacje. Atak nie wymaga uwierzytelnienia, specjalnych uprawnień ani interakcji po stronie użytkownika, co odzwierciedla najwyższe wskaźniki wektora CVSS.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt, zapis lub wykonanie plików poza katalogiem aplikacji, co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy niezwłocznie zaktualizować Apache OFBiz do wersji 18.12.13 lub nowszej, która eliminuje opisaną podatność. Pakiety dostępne są pod adresem https://ofbiz.apache.org/download.html

Kogo dotyczy

Apache OFBiz we wszystkich wersjach przed 18.12.13

Uwagi

Podatność znajduje się w rejestrze CISA KEV (Known Exploited Vulnerabilities), co potwierdza aktywne wykorzystywanie jej w środowiskach produkcyjnych. Szczegóły techniczne dostępne w zgłoszeniu OFBIZ-13006 w systemie Jira projektu Apache.