0day уязвимость CVE-2023-51467 в Apache OfBiz
Обновиться стоит как можно скорее, чтобы избежать утечки корпоративной информации.
В системе Apache OfBiz, широко используемой для планирования ресурсов предприятия (ERP), обнаружена критическая zero-day уязвимость. Она позволяет обходить системы аутентификации и подвергает бизнес многих предприятий реальному риску кибератак.
Исследовательская группа SonicWall обнаружила уязвимость , получившую обозначение CVE-2023-51467 . Проблема связана с функцией входа в систему и является следствием неполного исправления предыдущей критической уязвимости CVE-2023-49070 , исправление которой было выпущено ранее в этом месяце.
CVE-2023-49070 — это уязвимость, позволяющая удалённо выполнять код без аутентификации. Она влияет на версии до 18.12.10 и может привести к полному контролю над сервером и краже конфиденциальных данных. Проблема вызвана устаревшим компонентом XML-RPC в Apache OFBiz.
CVE-2023-51467 активируется с помощью пустых или недействительных параметров USERNAME и PASSWORD в HTTP-запросе, что приводит к сообщению об успешной аутентификации. Это позволяет злоумышленникам получить доступ к внутренним ресурсам.
Атака зависит от того, что параметр «requirePasswordChange» установлен в положение «Y» (да) в URL, что позволяет обойти аутентификацию независимо от предоставленных данных пользователя и пароля.
В американской национальной базе данных уязвимостей (NVD) указано, что уязвимость позволяет обходить аутентификацию и приводит к уязвимости для серверной подделки запросов (SSRF).
Пользователям системы Apache OFbiz настоятельно рекомендуется обновиться до версии 18.12.11 или более новой для устранения потенциальных угроз.
Квантовый кот Шрёдингера ищет хозяина!
Живой, мертвый или в суперпозиции? Узнайте в нашем канале