Apache OFBizに認証不要でコード実行の脆弱性、修正版あり
Apache OFBiz 24.09系の24.09.08未満に、認証なしでサーバー上のコードを実行される脆弱性が見つかりました。インターネットから届くOFBizがあれば、24.09.08への更新を最優先で進めてください。
同じ発表の脆弱性 2 件
- CVE-2026-83542 重大 9.8
- CVE-2026-82907 重大 9.8
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワーク越しでコードを実行でき、修正版24.09.08が2026年11月5日の公表と同時に案内されています。
関係があるか
OFBizを受注管理・在庫管理・ECなどの業務基盤に使っている組織が対象です。とくに、インターネットからアクセスできる状態で24.09系を動かしている環境は、影響を受ける前提で見てください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Apache OFBiz | 24.09系の24.09.08より前（OSやプラットフォームを問わない） | 24.09.08 |
確かめ方
- 1自社が使っているOFBizの版を、導入時の記録やデプロイしたリリースのアーカイブ名で確認します。24.09系で24.09.08より前なら対象です。
- 224.09系以外の系統（旧版など）を使っている場合、今回の脆弱性の記録に載っているのは24.09.08未満だけです。影響の有無はApache OFBizのセキュリティ告知で確認してください。
- 3本番だけでなく検証環境や開発環境にも、外部から到達できるOFBizがないか洗い出します。リバースプロキシやファイアウォールの公開設定も見ます。
何が起きたか
Apache OFBiz 24.09系に、ログインしていない外部の第三者がサーバー上で任意のコードを実行できてしまう脆弱性があります。2026年11月5日に公表され、CWEはCWE-94（コードインジェクション）です。
OFBizは画面の構成をXMLの画面定義で持ち、その中にGroovyの式を書けます。今回の問題では、画面定義の読み込み先を外部からのリクエストで差し替えられ、サンドボックスのないGroovyの式がそのまま評価されます。
公表後の検証で、影響はログイン失敗画面の表示経路に限らないことが分かっています。認証不要で公開されている別のルートからも同じ原因に到達でき、コマンドの出力がHTTP 200の応答にそのまま返ります。また、画面定義はディスク上のファイルからではなく、処理中のプロセスから読み込まれる経路もあるとされています。ディスクを調べるだけでは痕跡が見つかりにくいかもしれません。
攻撃の流れ
-
1
外部から送信
インターネット側の第三者が、ログイン不要でOFBizに細工したリクエストを送ります。
-
2
読み込み先の差替え
画面定義の読み込み先が、攻撃者の用意した内容に切り替わります。
-
3
不正な式を評価
サンドボックスのないGroovyの式が、画面の描画中にそのまま評価されます。
-
4
コード実行
OFBizを動かしているサーバー上で、任意のコードが実行されます。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しにOFBizへリクエストを送れれば成り立ち、利用者の操作も不要です。CVSSの評価でも、攻撃の複雑さは低いとされています。
悪用されると、OFBizを動かしているアカウントの権限で、サーバー上で任意のコードが動きます。受注・顧客・在庫などのデータの閲覧と改ざん、サービスの停止が起こりえます。サーバーが社内ネットワークにつながっていれば、そこから先へ広がる足がかりにされるおそれもあります。
今すぐやること
-
1
24.09.08へ更新する
外部に公開しているOFBizから順に、修正版24.09.08へ更新します。更新後は、画面の表示とログインが通常どおり動くことを確認します。
-
2
侵害の跡がないか調べる
更新の前後で、アクセスログに /sfa/control/editPortalPageColumnWidthへの不審なリクエストがないかを確認します。あわせて、OFBizのプロセスから見慣れない子プロセスが起動していないか、サーバーから予期しない外部通信が出ていないかも見ます。ディスク上にファイルが残らない経路もあるとされているため、ファイルの有無だけで安全とは判断しないでください。
-
3
対象の洗い出しを済ませる
自社のOFBizの台数、版、公開範囲を一覧にします。委託先や子会社が運用しているものも含め、24.09系の24.09.08未満が残っていないかを確認します。
-
4
ベンダーの告知を確かめる
Apache OFBizのセキュリティ告知とメーリングリストで、24.09系以外の系統への影響と、更新できないときの公式な緩和策を確認します。
すぐ更新できないとき
更新まで間が空くときは、OFBizへのアクセス元をVPNや許可したIPアドレスに絞り、インターネットから直接届かないようにします。/sfa/control/editPortalPageColumnWidthだけを遮断しても、同じ原因はログイン失敗画面の経路からも届くため、根本的な対策にはなりません。アクセス元の制限が現実的です。公式の回避策の有無はApache OFBizの告知で確認してください。
背景
Apache OFBizは、受注・在庫・会計・顧客管理などを一つのフレームワークで動かせるオープンソースの業務基盤です。自社の業務に合わせて画面や処理を作り込む使い方が多く、バージョン更新が後回しになりやすい製品です。今回の画面定義XMLも、その作り込みの土台になる仕組みです。
OFBizでは、認証が要る機能に認証なしで届いてしまう問題が過去にもありました。2023年12月に修正されたCVE-2023-51467は、ログイン処理の検証を回避できる問題です。今回の脆弱性も認証を前提にしない点は同じですが、画面定義を通じてサーバー側のGroovyの式を評価させるという別の経路です。
よくある質問
Q.社内ネットワークからしか使っていないOFBizも、急いで更新すべきですか。
Q.ログイン画面を外部に出していなければ影響はありませんか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Apache Software Foundation | Apache OFBiz |
24.09.08 未満 |
24.09.08 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Control of Generation of Code ('Code Injection') in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to execute arbitrary code on the server by staging crafted widget XML in a multipart upload and overriding the mainDecoratorLocation used by a manager login route through an anonymous JSON request, causing OFBiz to load the staged XML through its live screen descriptor mechanism and evaluate an unsandboxed Groovy expression while rendering the authentication-failure page. Further validation established the following:
-- The exploit does not require a malformed or incomplete multipart body: a well-formed multipart request that is kept in flight and then allowed to complete normally is sufficient.
-- The screen loader reads the widget XML from a live process file descriptor while the upload is streaming, rather than from any file the attacker persists to disk.
-- The same underlying issue is also reachable through the public, explicitly unauthenticated /sfa/control/editPortalPageColumnWidth route, returning command output directly in an HTTP 200 response — it is not limited to the login-failure rendering path used in the original report.
Users are recommended to upgrade to version 24.09.08, which fixes this issue.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web lists.apache.org
- web nvd.nist.gov
- web github.com