La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha emitido una alerta urgente sobre la vulnerabilidad CRÍTICA CVE-2024-38856 con un puntaje base CVSS de 8.1 en Apache OFBiz, un sistema ERP (Planificación de Recursos Empresariales) de código abierto. Esta vulnerabilidad está siendo explotada activamente y ha sido incluida en el catálogo de vulnerabilidades conocidas (KEV) de la agencia.
CVE-2024-38856 es una vulnerabilidad de ejecución remota de código previa a la autenticación en Apache OFBiz. Esta falla permite a usuarios no autenticados acceder a funciones que deberían estar restringidas, facilitando la ejecución de código arbitrario en los sistemas afectados.
La vulnerabilidad se debe a un problema en su sistema de seguridad, que es responsable de verificar quién tiene permiso para acceder a qué funciones. En este caso, la falla permite que personas no autorizadas accedan a funciones que normalmente deberían estar protegidas.
Esto significa que un atacante puede aprovechar esta debilidad para enviar solicitudes especiales al sistema, como si fuera un usuario legítimo, y ejecutar comandos que comprometan la seguridad del sistema.
Productos y versiones afectadas:
- Apache OFBiz: Versiones anteriores a la 18.12.15
Solución:
- Parche de seguridad para Apache OFBiz en la versión 18.12.15 o posterior.
Recomendaciones:
- Realizar la actualización a la versión más reciente de Apache OFBiz de inmediato.
- Revisar y reforzar las políticas de seguridad de autenticación en todas las aplicaciones.
- Monitorear los sistemas en busca de actividad sospechosa que pueda indicar intentos de explotación.
Referencias: