Phát hiện lỗ hổng zero-day nghiêm trọng trong hệ thống Apache OfBiz ERP

Một lỗ hổng zero-day mới đã được phát hiện trong Apache OfBiz, một hệ thống hoạch định nguồn lực doanh nghiệp (ERP) nguồn mở có thể bị khai thác để vượt qua các biện pháp bảo vệ xác thực.

Lỗ hổng có định danh CVE-2023-51467, tồn tại trong chức năng đăng nhập và là kết quả của bản vá chưa hoàn chỉnh cho một lỗ hổng nghiêm trọng khác (CVE-2023-49070, điểm CVSS: 9,8) được phát hành vào đầu tháng này.

Các nhà nghiên cứu của SonicWall Capture Labs, nhóm đã phát hiện ra lỗ hổng, cho biết: “Các biện pháp bảo mật được triển khai để vá CVE-2023-49070 không giải quyết vấn đề gốc rễ của lỗ hổng, do đó, việc vượt qua kiểm tra xác thực vẫn tồn tại”.

CVE-2023-49070, liên quan đến một lỗ hổng thực thi mã từ xa mà không cần xác thực (pre-authenticated RCE) ảnh hưởng đến các phiên bản trước ngày 18.12.10, bắt nguồn từ thành phần XML-RPC không được dùng nữa trong Apache OFBiz. Khai thác thành công lỗ hổng có thể cho phép các tác nhân đe dọa giành toàn quyền kiểm soát máy chủ và lấy cắp dữ liệu nhạy cảm.

Theo SonicWall, CVE-2023-51467 có thể được kích hoạt bằng cách sử dụng các tham số USERNAME và PASSWORD trống và không hợp lệ trong request HTTP để nhận được thông báo xác thực thành công, phá vỡ lớp bảo vệ và cho phép kẻ tấn công truy cập trái phép vào các tài nguyên nội bộ.

Thực tế, cuộc tấn công dựa trên việc thay đổi tham số "requirePasswordChange" thành "Y" (tức là có) trong URL, khiến quá trình xác thực bị bỏ qua bất kể giá trị được truyền trong trường tên người dùng và mật khẩu.

“Lỗ hổng này cho phép kẻ tấn công vượt qua kiểm tra xác thực để thực hiện tấn công Giả mạo yêu cầu phía máy chủ (SSRF)”, theo mô tả về lỗ hổng trên NIST National Vulnerability Database (NVD).

Người dùng các hệ thống, ứng dụng dựa trên Apache OFbiz nên nhanh chóng cập nhật lên phiên bản 18.12.11 trở lên càng sớm càng tốt để giảm thiểu mọi mối đe dọa tiềm ẩn.

Nguồn: thehackernews.com.