Тази седмица Apache обяви актуализация на сигурността за системата за планиране на ресурсите на предприятието (ERP) с отворен код OFBiz, за да отстрани две уязвимости, включително заобикаляне на кръпките за два вече използвани за атаки  недостатъка.

Заобикалянето, проследено като CVE-2024-45195, се описва като липсваща проверка за оторизация на изгледа в уеб приложението, което позволява на неавтентифицирани, отдалечени нападатели да изпълняват код на сървъра. Rapid7 предупреждава, че са засегнати както Linux, така и Windows системи.

Според фирмата за киберсигурност бъгът е свързан с три наскоро разгледани грешки в отдалеченото изпълнение на код (RCE) в Apache OFBiz (CVE-2024-32113, CVE-2024-36104 и CVE-2024-38856), включително две, за които е известно, че са вече  използвани в  природата.

Компанията Rapid7, която идентифицира и докладва за заобикалянето на кръпката, твърди, че трите уязвимости по същество са един и същ дефект в сигурността, тъй като имат една и съща основна причина.

• Разкрита в началото на май, CVE-2024-32113 беше описана като обхождане на пътища, което позволява на атакуващия да „взаимодейства с автентифицирана карта на изглед чрез неавтентифициран контролер“ и да получи достъп до карти на изглед само за администратори, за да изпълни SQL заявки или код. Опити за експлоатиране бяха наблюдавани през юли.
• Вторият недостатък, CVE-2024-36104, беше разкрит в началото на юни и също беше описан като обхождане на пътища. Той беше отстранен с премахването на точките със запетая и периодите, кодирани в URL, от URI.
• В началото на август Apache обърна внимание на CVE-2024-38856, описан като дефект в сигурността, свързан с неправилно оторизиране, който може да доведе до изпълнение на код. В края на август американската агенция за киберзащита CISA добави грешката в своя каталог Known Exploited Vulnerabilities (KEV).

И трите проблема, според Rapid7, се коренят във фрагментирането на състоянието на картата на контролера и изгледа, което възниква, когато приложението получава неочаквани модели на URI. Полезният товар за CVE-2024-38856 работи за системи, засегнати от CVE-2024-32113 и CVE-2024-36104, „тъй като основната причина е една и съща и за трите“.

Грешката беше отстранена с проверки на разрешенията за две карти на изгледи, към които бяха насочени предишни експлойти, като по този начин бяха предотвратени известните техники за експлойт, но без да се реши основната причина, а именно „възможността за фрагментиране на състоянието на картата на контролера и изгледа“.

„И трите  уязвимости бяха причинени от един и същ общ основен проблем, а именно възможността за десинхронизиране на състоянието на контролера и картата на изгледа. Този недостатък не беше напълно отстранен от нито една от кръпките“, обяснява Rapid7.

Фирмата за киберсигурност се е насочила към друга карта на изгледа, за да експлоатира софтуера без удостоверяване и да се опита да изхвърли „потребителски имена, пароли и номера на кредитни карти, съхранявани от Apache OFBiz“ в папка, достъпна в интернет.

Версията 18.12.16 на Apache OFBiz беше пусната тази седмица, за да се отстрани уязвимостта, като се въведат допълнителни проверки за оторизация.

„Тази промяна потвърждава, че даден изглед трябва да разрешава анонимен достъп, ако потребителят не е автентикиран, вместо да извършва проверки за оторизация единствено въз основа на целевия контролер“, обяснява Rapid7.

Актуализацията на сигурността на OFBiz също така адресира CVE-2024-45507, описана като грешка в подправяне на заявки от страна на сървъра (SSRF) и инжектиране на код.

На потребителите се препоръчва да актуализират до Apache OFBiz 18.12.16 възможно най-скоро, като се има предвид, че  заплахите се насочват към уязвими инсталации.