- Aktif istismar
- Yama var
- CWE-22
CVE-2024-32113
Apache OFBiz'te dizin geçişi (path traversal) açığı uzaktan kod çalıştırmaya yol açıyor
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 903 gün
- Kaydı açan
- apache
Yönetici özeti
Apache OFBiz kullanan sistemler, dışarıdan ve herhangi bir parola olmadan ele geçirilebilir; açık sahada aktif olarak istismar ediliyor. Ele geçirilen sistemde veri hırsızlığı veya iş süreçlerinin kesintiye uğraması riski vardır. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Apache OFBiz'te, dosya yolu kısıtlamalarının yetersiz uygulanmasından kaynaklanan bir dizin geçişi (path traversal) açığı bulunuyor. Sürüm 18.12.13 öncesindeki tüm OFBiz sürümleri etkileniyor. Açık kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebiliyor ve CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan sunucudaki kısıtlı dizinlerin dışındaki dosyalara erişebilir ve bunları değiştirebilir. Başlığa göre bu durum uzaktan kod çalıştırmaya kadar varabilir.
Kaynaktaki açıklama (İngilizce)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache OFBiz.This issue affects Apache OFBiz: before 18.12.13.
Users are recommended to upgrade to version 18.12.13, which fixes the issue.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Apache OFBiz'i üreticinin açığı kapatan 18.12.13 sürümüne veya daha yenisine yükseltin. Üretici
- Hemen yükseltme yapamıyorsanız üreticinin yayımladığı geçici önlem talimatlarını uygulayın; önlem uygulanamıyorsa ürünün kullanımına son verin. CISA
- Yükseltme sonrasında sistemin daha önce istismar edilip edilmediğini kontrol edin; beklenmedik dosyalar, süreçler ve olağandışı istekler için günlükleri inceleyin. Genel öneri
Ek önlemler
- OFBiz yönetim ve uygulama arayüzlerini internete doğrudan açmayın; erişimi VPN veya IP kısıtlamalarıyla sınırlayın. Genel öneri
- Web sunucusu veya WAF üzerinde dizin geçişi desenleri içeren istekleri (örneğin ../ dizileri) izleyin ve engelleyin. Genel öneri
- OFBiz sürecini en düşük yetkili bir hesapla çalıştırın ve dosya sistemi erişimini sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | < 18.12.13 | 18.12.13 |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.