- Aktif istismar
- Yama var
- CWE-425
CVE-2024-45195
Apache OFBiz'te yetkilendirme mantığı hatası: zorlamalı gezinme (forced browsing)
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 784 gün
- Kaydı açan
- apache
Yönetici özeti
Apache OFBiz'in eski sürümlerini kullanan sistemlerde, saldırganlar giriş yapmadan korunan bölümlere ulaşabilir. Açık aktif olarak istismar edildiği için risk yüksektir ve güncelleme gecikmeden yapılmalıdır. Güncelleme mümkün değilse sistemin internete açık erişimi kısıtlanmalıdır.
ÖzetTürkçe
Apache OFBiz'in 18.12.16 öncesi sürümlerinde, controller ve view yetkilendirme mantığındaki bir karışıklıktan kaynaklanan zorlamalı gezinme (forced browsing) açığı bulunmaktadır. Zafiyet CWE-425 kapsamında sınıflandırılmış ve CVSS puanı 9,8 (kritik) olarak değerlendirilmiştir. Açığa kimlik doğrulaması olmadan ağ üzerinden erişilebilmektedir. Zafiyet, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan korunması gereken sayfalara ve işlevlere doğrudan istek göndererek erişebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratabilir.
Kaynaktaki açıklama (İngilizce)
Direct Request ('Forced Browsing') vulnerability in Apache OFBiz.
This issue affects Apache OFBiz: before 18.12.16.
Users are recommended to upgrade to version 18.12.16, which fixes the issue.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Apache OFBiz'i, açığı gideren 18.12.16 sürümüne veya daha yenisine yükseltin. Üretici
- Üretici tarafından yayımlanan hafifletme (mitigation) talimatlarını uygulayın; bunun mümkün olmaması durumunda ürünün kullanımını sonlandırın. CISA
- Güncelleme yapılana kadar OFBiz arayüzüne erişimi güvenlik duvarı veya VPN ile yalnızca güvenilir ağlara sınırlandırın. Genel öneri
Ek önlemler
- Web sunucusu ve uygulama günlüklerinde, yetkisiz kullanıcılardan gelen alışılmadık doğrudan sayfa isteklerini inceleyin; olası bir ihlale karşı sistemi gözden geçirin. Genel öneri
- OFBiz yönetim ve arka uç arayüzlerini internete açık bırakmayın. Genel öneri
- Kullanılan uygulama bileşenlerinin envanterini tutun ve güvenlik güncellemelerini düzenli olarak takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | < 18.12.16 | 18.12.16 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.apache.org/thread/o90dd9lbk1hh3t2557t2y2qvrh92p7wy Üretici bülteni
- ofbiz.apache.org/security.html Yama
- ofbiz.apache.org/download.html Önlem
- issues.apache.org/jira/browse/OFBIZ-13130 Üçüncü taraf
- cisa.gov/known-exploited-vulnerabilities-catalog Üçüncü taraf
- openwall.com/lists/oss-security/2024/09/03/6 Diğer
Kayıt geçmişi
- CVSS puanı değişti: 9.8 → 7.5
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.