CVE-2024-38856 — Apache OFBiz (Documentazione del repository)

Scopo del repository: documentazione informativa su CVE-2024-38856 (autorizzazione non corretta / RCE pre-autenticazione di Apache OFBiz).
Questo repository non contiene codice di exploit weaponizzato. È destinato esclusivamente a ricerca difensiva, indicazioni per il patching, rilevamento e test di laboratorio sicuri.

---

Panoramica

CVE-2024-38856 è una vulnerabilità di autorizzazione non corretta in Apache OFBiz che può consentire l'accesso non autenticato a determinati endpoint e, in condizioni specifiche, abilitare l'esecuzione di codice di rendering dello schermo che può portare all'esecuzione di codice remoto sui sistemi interessati. Il problema è stato corretto in Apache OFBiz 18.12.15; le versioni precedenti fino alla 18.12.14 sono interessate. :contentReference[oaicite:0]{index=0}

Gravità / Impatto: molteplici vendor di sicurezza e ricercatori hanno valutato questa vulnerabilità come critica — può portare all'esecuzione di codice remoto non autenticato su istanze vulnerabili ed è stata osservata in tentativi di sfruttamento attivo in natura. Gli amministratori dovrebbero trattare le istanze OFBiz esposte come elementi di mitigazione ad alta priorità. :contentReference[oaicite:1]{index=1}

---

Versioni interessate

• Apache OFBiz: fino alla 18.12.14 (cioè, tutte le versioni <= 18.12.14 sono considerate vulnerabili). Il problema è stato risolto nella 18.12.15. L'aggiornamento è raccomandato. :contentReference[oaicite:2]{index=2}