- Yama var
- Son 7 gün
- CWE-770
- CWE-862
CVE-2026-82904
Apache OFBiz'te parametre adına bağlı sınırsız çoklu form satır sayısı hatası
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, kimlik doğrulaması gerekmeden uzaktan tetiklenebilen ve sistemin yanıt vermesini durdurabilen bir hizmet aksaklığı riski taşımaktadır. Etkilenen sistemler kısa sürede güncellenmelidir, aksi halde iş süreçleri kesintiye uğrayabilir.
ÖzetTürkçe
Apache OFBiz 24.09 sürümünün 24.09.08 öncesi sürümlerinde, ServiceMultiEventHandler bileşeni çoklu form gönderimlerinde kullanılan "o" sonekine sahip parametre adlarından satır sayısını sınırsız biçimde hesaplamaktadır. Bu nedenle tüm platformlardaki kurulumlar etkilenmektedir. Kimlik doğrulaması gerektirmeyen uzak bir saldırgan, tek ve küçük bir HTTP isteğiyle sunucu iş parçacığını uzun süre meşgul edebilir.
Saldırgan ne yapabilir?
Saldırgan, tek bir küçük istekle sunucu istek iş parçacığını istediği sayıda senkron servis çağrısında tutarak kaynakların tükenmesine ve hizmetin kullanılamaz hale gelmesine neden olabilir.
Kaynaktaki açıklama (İngilizce)
Uncontrolled Resource Consumption in ServiceMultiEventHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to pin a server request thread for an attacker-chosen number of synchronous service dispatches, up to the signed-integer maximum, by submitting a single small HTTP request whose parameter names encode a row count via the "o" suffix used by multi-form submissions, because UtilHttp.getMultiFormRowCount derives that count from the largest such suffix with no upper bound and ServiceMultiEventHandler.invoke then loops that many times calling dispatcher.runSync, with the request-map for getFinAccountTransRunningTotalAndBalances reaching this handler with no authentication or CSRF requirement on a stock deployment. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Ne yapmalı?
- Apache OFBiz'i 24.09.08 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar OFBiz örneğini internete doğrudan açık bırakmayın; erişimi güvenilir ağlarla sınırlandırın. Genel öneri
- Sunucunun yanıt süresini ve iş parçacığı kullanımını izleyerek olağandışı yükleri takip edin. Genel öneri
Ek önlemler
- Yönetim ve iç hizmet uç noktalarını ters vekil veya güvenlik duvarı kurallarıyla dış erişime kapatın. Genel öneri
- Sunucu tarafında istek sayısı ve istek boyutu için sınırlar uygulayın. Genel öneri
- Uygulama günlüklerinde aynı uç noktaya yönelik olağandışı sayıda ve büyük parametre içeren istekleri izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | < 24.09.08 | 24.09.08 |
Kaynaklar3 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 7.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.