VietNetwork.Vn

Một lỗ hổng bảo mật mới đã được giải quyết trong hệ thống hoạch định nguồn lực doanh nghiệp (ERP) mã nguồn mở Apache OFBiz, nếu khai thác thành công có thể dẫn đến việc thực thi mã từ xa không xác thực trên Linux và Windows.

Lỗ hổng nghiêm trọng này được theo dõi là CVE-2024-45195 (điểm CVSS: 7,5), ảnh hưởng đến tất cả các phiên bản phần mềm trước ngày 18.12.16.


"Kẻ tấn công không có thông tin xác thực hợp lệ sẽ khai thác các kiểm tra quyền xem bị thiếu trong ứng dụng web để thực thi mã tùy ý trên máy chủ", nhà nghiên cứu bảo mật Ryan Emmons của Rapid7 cho biết trong một báo cáo mới.

Điều đáng chú ý là CVE-2024-45195 là giải pháp bỏ qua một loạt các sự cố CVE-2024-32113, CVE-2024-36104 và CVE-2024-38856 đã được nhóm bảo trì dự án giải quyết trong vài tháng qua.

Cả CVE-2024-32113 và CVE-2024-38856 đều đã bị khai thác tích cực trong thực tế, trong đó lỗ hổng trước đây được sử dụng để triển khai phần mềm độc hại botnet Mirai.

Rapid7 cho biết cả ba nhược điểm cũ đều bắt nguồn từ "khả năng không đồng bộ bộ điều khiển và trạng thái bản đồ xem", một vấn đề chưa bao giờ được khắc phục hoàn toàn trong bất kỳ bản vá nào.

Hậu quả của lỗ hổng này là kẻ tấn công có thể lợi dụng nó để thực thi mã hoặc truy vấn SQL và thực thi mã từ xa mà không cần xác thực.

Bản vá mới nhất được đưa ra "xác thực rằng chế độ xem sẽ cho phép truy cập ẩn danh nếu người dùng chưa được xác thực, thay vì thực hiện kiểm tra quyền hạn chỉ dựa trên bộ điều khiển mục tiêu".

Apache OFBiz phiên bản 18.12.16 cũng giải quyết lỗ hổng làm giả yêu cầu phía máy chủ (SSRF) nghiêm trọng (CVE-2024-45507, điểm CVSS: 9,8) có thể dẫn đến truy cập trái phép và xâm phạm hệ thống bằng cách lợi dụng URL được tạo đặc biệt.