CVE-2024-38856 — Apache OFBiz (Документация репозитория)

Назначение репозитория: информационная документация о CVE-2024-38856 (неправильная авторизация / предварительная аутентификация RCE в Apache OFBiz).
Этот репозиторий не содержит готового эксплойтного кода. Он предназначен только для защитных исследований, рекомендаций по исправлению, обнаружения и безопасного лабораторного тестирования.

---

Обзор

CVE-2024-38856 — это уязвимость неправильной авторизации в Apache OFBiz, которая может позволить неавторизованный доступ к определённым конечным точкам и, при определённых условиях, выполнение кода рендеринга экрана, что может привести к удалённому выполнению кода на уязвимых системах. Проблема исправлена в Apache OFBiz 18.12.15; более ранние версии до 18.12.14 включительно считаются уязвимыми. :contentReference[oaicite:0]{index=0}

Серьёзность/Воздействие: несколько поставщиков средств безопасности и исследователей оценили эту уязвимость как критическую — она может привести к неавторизованному удалённому выполнению кода на уязвимых экземплярах, и были замечены попытки активной эксплуатации в дикой природе. Администраторы должны рассматривать открытые экземпляры OFBiz как приоритетные задачи для устранения. :contentReference[oaicite:1]{index=1}

---

Затронутые версии

• Apache OFBiz: до 18.12.14 включительно (т.е. все версии <= 18.12.14 считаются уязвимыми). Проблема исправлена в 18.12.15. Рекомендуется обновление. :contentReference[oaicite:2]{index=2}