Se corrige una vulnerabilidad crítica de ejecución remota de código en Apache OFBiz.
El error es una vulnerabilidad que permite la ejecución arbitraria de código.
Apache ha lanzado un parche para una vulnerabilidad de alta severidad en su software OFBiz. Esta falla permite la ejecución de código arbitrario, lo que otorga a los atacantes la capacidad de ejecutar cualquier código en servidores que usan Windows o Linux.
Apache OFBiz, que significa Open For Business, es un sistema de planificación de recursos empresariales (ERP) de código abierto. Este software proporciona una serie de aplicaciones diseñadas para automatizar y gestionar diversos procesos empresariales, incluyendo la gestión de relaciones con clientes (CRM), gestión de la cadena de suministro, gestión de inventarios, contabilidad, comercio electrónico, entre otros.
Investigadores de ciberseguridad en Rapid7 han informado que la vulnerabilidad proviene de una debilidad de navegación forzada, que expone rutas restringidas a ataques basados en solicitudes directas no autenticadas. Según los expertos, un atacante sin credenciales válidas puede aprovechar la falta de controles de autorización de vista en la aplicación web para ejecutar código arbitrario en el servidor.
La vulnerabilidad ahora se registra como CVE-2024-45195 y cuenta con una puntuación de severidad de 7.5, lo que indica un nivel alto de riesgo. Todas las versiones anteriores a la 18.12.16 eran vulnerables, y la última versión de Apache ha solucionado el problema añadiendo controles de autorización. Se recomienda a los usuarios aplicar el parche de inmediato.
Los investigadores también han enfatizado que esta no es la primera vulnerabilidad que se aborda con un parche. En el año anterior, Apache liberó tres parches para tres defectos que tenían la misma causa raíz: CVE-2024-32113, CVE-2024-36104 y CVE-2024-38856. De hecho, la CVE-2024-45195 es una forma de eludir parches anteriores relacionados.
Se ha observado que todos estos problemas son resultado de un fallo en la fragmentación del mapa de controladores y vistas, lo que permite a los atacantes ejecutar código o consultas SQL, logrando así la ejecución remota de código sin necesidad de autenticación. A principios de este mes, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) advirtió que uno de los defectos, CVE-2024-32113, estaba siendo explotado en ataques y lo añadió al catálogo de Vulnerabilidades Conocidas Explotadas (KEV).
- seguridad
- vulnerabilidades
- Apache OFBiz
