Trusted DesignCVE-2024-38856 の詳細
CVEの情報
説明:
Incorrect Authorization vulnerability in Apache OFBiz.
This issue affects Apache OFBiz: through 18.12.14.
Users are recommended to upgrade to version 18.12.15, which fixes the issue.
Unauthenticated endpoints could allow execution of screen rendering code of screens if some preconditions are met (such as when the screen definitions don't explicitly check user's permissions because they rely on the configuration of their endpoints).
CVE更新日: 2024-08-05 09:15:56.780000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2024-08-27
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.994270000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2024-38856について、以下の観点から解説します。
1. 脆弱性の概要
CVE-2024-38856は、Apache OFBizにおける不適切な認証の脆弱性です。この脆弱性は、認証されていないエンドポイントで、特定の前提条件（スクリーン定義がユーザーの権限を明示的にチェックせず、エンドポイントの設定に依存している場合など）が満たされると、スクリーンのレンダリングコードの実行を許可する可能性があります。この問題は、オーバーライドビュー機能の欠陥と、スクリーン定義における明示的な権限チェックの不足に起因します。
1.1 影響 本脆弱性が悪用されると、認証されていない攻撃者によってリモートコード実行 (RCE) が可能になります。これにより、不正なアクセス、機密データの読み取り、アプリケーション状態の変更、または任意のビジネスロジックの実行が可能となる可能性があります。攻撃者はサーバーの乗っ取り、データ侵害、ランサムウェア攻撃などを引き起こすことも考えられます。
1.2 深刻度 CVE-2024-38856は「Critical（危機的）」と評価されており、CVSSスコアは9.8（CVSSv3.x）です。Nessusのプラグイン詳細では、CVSSv2のスコアが9.1と記載されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン 本脆弱性は特定のOSバージョンに依存するものではなく、Apache OFBizアプリケーション自体に影響を与えます。
2.2 影響を受ける設定 Apache OFBizのバージョン18.12.14以前が影響を受けます。特に、スクリーン定義がユーザーの権限を明示的にチェックせず、エンドポイントの設定にのみ依存している場合に影響を受けやすいです。この脆弱性は、認証されていない
ProgramExportエンドポイントへのアクセスを許可します。3. 影響を受けた時の兆候
以下のような兆候が考えられます。 *
/screenViewやその他の脆弱なエンドポイント（例:/webtools/control/forgotPassword/ProgramExport、/webtools/control/main/ProgramExportなど）への異常なアクセスログ。 * 不正なユーザーセッションの存在。 * 予期せぬスクリーンのレンダリング活動。 * サーバーの乗っ取り、データ侵害、またはランサムウェア活動の兆候。4. 推奨対策
4.1 本対策 * Apache OFBizをバージョン18.12.15以降にアップグレードしてください。 * アップデートプロセス中にデータ損失を防ぐため、すべての重要なデータをバックアップしてください。 * アップデートが正常に適用され、システムが正しく機能していることを確認してください。
4.2 暫定回避策（緩和策） * エンドポイントの設定で明示的な権限チェックを見直してください。 * 厳格なアクセス制御ポリシーを実装してください。 * エンドポイントの設定にのみ依存するのではなく、スクリーン定義で明示的に認証チェックを設定してください。 * パッチ適用が完了するまで、ファイアウォールまたはリバースプロキシレベルで、管理画面や機密性の高い画面へのアクセスを制限してください。 * アクセスログで不正なスクリーンレンダリング要求や脆弱なエンドポイントへのアクセスを監視してください。 * SonicWall IPS:4455のようなIPSシグネチャを実装し、積極的な悪用を検出してください。
他に解説すべき観点
参照したサイト