Apache OFBizの脆弱性、認証済みの利用者に別のサービスを実行される恐れ
概要
Apache OFBizには、認証済みの利用者が名刺(vCard)取り込みの処理で呼び出すサービスを差し替え、ほかのサービスにアクセスできてしまう脆弱性があります。影響を受けるのは24.09.08より前のバージョンで、24.09.08に更新すると修正されます。CVSSは8.1で、利用中のバージョンを確認し、早めの更新をおすすめします。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Apache OFBizには、認証済みの利用者が名刺(vCard)取り込みの処理で呼び出すサービスを差し替え、ほかのサービスにアクセスできてしまう脆弱性があります。影響を受けるのは24.09.08より前のバージョンで、24.09.08に更新すると修正されます。CVSSは8.1で、利用中のバージョンを確認し、早めの更新をおすすめします。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Apache Software Foundation | Apache OFBiz |
24.09.08 未満 |
24.09.08 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Control of Resource Identifiers ('Resource Injection') vulnerability in Apache OFBiz.
An authenticate user with access to sfa component can override the service to use on vcard import and access to other service.
This issue affects Apache OFBiz: before 24.09.08.
Users are recommended to upgrade to version 24.09.08, which fixes the issue.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web lists.apache.org
- web nvd.nist.gov
- web github.com