Mobile-Menu

Open Source-ERP-Software angreifbar Kritische Sicherheitslücke in Apache OFBiz

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
SEPPmail - Deutschland GmbH

Angreifer können anfällige Versionen von Apache OFBiz mit Malware verseuchen. Admins sollten schnellstmöglich Updates installieren.

In der Open-Source-ERP-Software Apache OFBiz ist eine kritische Sicherheitslücke entdeckt worden.(Bild: Pcess609 - stock.adobe.com)
In der Open-Source-ERP-Software Apache OFBiz ist eine kritische Sicherheitslücke entdeckt worden.
(Bild: Pcess609 - stock.adobe.com)

Die Entwickler von Apache OFBiz haben bestätigt, dass die Schwachstelle CVE-2024-38856 ab Version 18.12.15 geschlossen ist. Bei älteren Versionen können Angreifer eigenen Code übertragen. Die Entwickler empfehlen eine schnellstmögliche Aktualisierung in Unternehmen.

Das sollten Admins über die Sicherheitslücke CVE-2024-38856 in Apache OFBiz wissen

Die schwerwiegende Sicherheitslücke CVE-2024-38856 stellt ein erhebliches Risiko für Unternehmen dar, die diese Software in Versionen bis einschließlich 18.12.14 einsetzen. Die Schwachstelle betrifft die Autorisierung von Endpunkten, die es einem Angreifer ermöglicht, ohne Authentifizierung auf bestimmte Funktionen des Systems zuzugreifen und dabei Code zur Bildschirmdarstellung auszuführen.

Die Schwachstelle entsteht durch fehlerhafte Autorisierungs­mechanismen in Apache OFBiz. Endpunkte, die keine explizite Überprüfung der Benutzerberechtigungen durchführen, sind anfällig, wenn sie auf die Konfiguration der Endpunkte vertrauen. Dies kann dazu führen, dass Angreifer ohne vorherige Authentifizierung Zugriff auf interne Funktionen erhalten und beliebigen Code zur Darstellung von Bildschirmen ausführen. Diese Situation tritt auf, wenn bestimmte Vorbedingungen erfüllt sind, wie etwa unzureichende Absicherung der Endpunkte oder falsch konfigurierte Bildschirmdefinitionen.

Die Auswirkungen dieser Schwachstelle sind erheblich, da Angreifer potenziell die Kontrolle über kritische Anwendungsbereiche erlangen können. Dies ermöglicht nicht nur den unautorisierten Zugriff auf Daten, sondern auch die Manipulation von Benutzeroberflächen und die Einschleusung schädlicher Inhalte. In einer Produktionsumgebung könnte dies dazu führen, dass Angreifer sensible Geschäftsdaten stehlen, betrügerische Transaktionen initiieren oder das System für weitergehende Angriffe ausnutzen. Besonders besorgniserregend ist die Tatsache, dass der Angriff ohne vorherige Authentifizierung erfolgt, was die Erkennung und Abwehr erheblich erschwert. Die Schwachstelle wird unter der Tracking-Nummer OFBIZ-13128 geführt.

Aktualisierung ist dringend empfohlen

Es ist daher dringend notwendig, betroffene Systeme schnellstmöglich auf die fehlerbereinigte Version 18.12.15 zu aktualisieren. Die neue Version behebt die Autorisierungsschwachstelle, indem sie sicherstellt, dass Endpunkte stets eine korrekte Überprüfung der Benutzerberechtigungen durchführen. Administratoren sollten nicht nur das Update einspielen, sondern auch ihre bestehenden Konfigurationen überprüfen, um sicherzustellen, dass alle Endpunkte angemessen gesichert sind.

(ID:50131782)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte