CSIRT Toscana Sanate vulnerabilità in Apache OFBiz (AL02/240904/CSIRT-ITA) – Aggiornamento
Data:
14 Ottobre 2024 11:16
Data di creazione: 04/09/2024 – 09:46
Sintesi
Risolte due vulnerabilità, di cui una con gravità “alta”, nel prodotto OFBiz di Apache Software Foundation. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un utente malintenzionato l’esecuzione di codice arbitrario sui sistemi interessati e l’accesso a informazioni sensibili.
Note (aggiornamento del 14/10/2024): un Proof of Concept (PoC) per lo sfruttamento della CVE-2024-45507 risulta disponibile in rete.
Stima d’impatto della vulnerabilità sulla comunità di riferimento: MEDIO/GIALLO (64,74/100)1.
Tipologia
- Arbitrary Code Execution
- Information Disclosure
Prodotti e/o versioni affette
Apache OFBiz, versioni precedenti alla 18.12.16
Azioni di mitigazione
In linea con le dichiarazioni del vendor si raccomanda di intraprendere le azioni di mitigazione seguendo le istruzioni fornite nel bollettino di sicurezza riportato nella sezione Riferimenti.
Identificatori univoci vulnerabilità
Riferimenti
https://lists.apache.org/thread/9jh9r4xxvd2rohm9bhgyk5rb4gkshlh6
https://lists.apache.org/thread/hsnccj2c9g0g9l6jn8gv2pwm3qpjlhn9
1La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.