SonicWall Rivela Attacchi diffusi su Apache OFBiz – Urgente: Aggiornamento Immediato Obbligatorio

SonicWall ha registrato migliaia di tentativi giornalieri di sfruttare le vulnerabilità zero-day di Apache OFBiz per quasi due settimane. La falla è stata resa pubblica per la prima volta il 26 dicembre, dopodiché il numero dei tentativi di sfruttamento è aumentato notevolmente.

Gli esperti hanno confermato che il numero degli attacchi è rimasto stabile dall’inizio del 2024. Si consiglia agli utenti del framework Apache Software Foundation, che include applicazioni di automazione dei processi aziendali e altre funzionalità aziendali, di eseguire immediatamente l’aggiornamento a OFBiz 18.12.11. L’aggiornamento elimina sia la vulnerabilità specificata sia un secondo problema, non meno pericoloso.

Il CVE-2023-51467 (punteggio CVSS: 9,8), scoperta a fine dicembre, è una vulnerabilità di bypass dell’autenticazione che consente a un utente malintenzionato di aggirare i processi di autenticazione ed eseguire codice arbitrario su un dispositivo remoto, il che potrebbe portare all’accesso a informazioni sensibili .

I ricercatori hanno scoperto il problema analizzando la causa principale di un’altra vulnerabilità separata di bypass dell’autenticazione Remote Code Execution (RCE), identificata come CVE-2023-49070 (punteggio CVSS: 9,8).

La soluzione di Apache per la seconda vulnerabilità consisteva nel rimuovere il codice per l’API XML-RPC, che non è più supportata. Tuttavia, ulteriori analisi di SonicWall hanno dimostrato che la causa principale risiede nella funzione di login. La mancata risoluzione della causa principale del CVE-2023-49070 ha provocato una vulnerabilità di bypass dell’autenticazione che ora è ampiamente utilizzata per rimanere ancorati in OFBiz.

I ricercatori di SonicWall hanno sviluppato due exploit Proof-of-Concept (PoC) che dimostrano la possibilità di sfruttare la vulnerabilità. La causa principale dell’exploit è che il bypass dell’autenticazione è causato da un comportamento imprevisto quando si imposta il parametro requirePasswordChange della funzione di accesso su “Y” nell’URI. Il team Apache OFBiz ha prontamente risolto il problema e gli exploit SonicWall PoC applicati alla versione con patch (18/12/11) non funzionavano più.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks