Se ha descubierto una nueva falla de seguridad de d\u00eda cero en Apache OfBiz, un sistema de planificaci\u00f3n de recursos empresariales (ERP) de c\u00f3digo abierto que podr\u00eda explotarse para eludir las protecciones de autenticaci\u00f3n.<\/p>\n
La vulnerabilidad, rastreada como CVE-2023-51467<\/strong><\/a>reside en la funcionalidad de inicio de sesi\u00f3n y es el resultado de un parche incompleto para otra vulnerabilidad cr\u00edtica (CVE-2023-49070<\/a>puntuaci\u00f3n CVSS: 9,8) que se public\u00f3 a principios de este mes.<\/p>\n “El medidas de seguridad<\/a> “El parche CVE-2023-49070 dej\u00f3 intacto el problema ra\u00edz y, por lo tanto, la omisi\u00f3n de autenticaci\u00f3n a\u00fan estaba presente”, dijo el equipo de investigaci\u00f3n de amenazas de SonicWall Capture Labs, que descubri\u00f3 el error. dicho<\/a> en un comunicado compartido con The Hacker News.<\/p>\n CVE-2023-49070 se refiere a una falla de ejecuci\u00f3n remota de c\u00f3digo previamente autenticada que afecta a las versiones anteriores a la 18.12.10 y que, cuando se explota con \u00e9xito, podr\u00eda permitir a los actores de amenazas obtener control total sobre el servidor y desviar datos confidenciales. Se debe a un componente XML-RPC obsoleto dentro de Apache OFBiz.<\/p>\n Seg\u00fan SonicWall, CVE-2023-51467 podr\u00eda activarse utilizando par\u00e1metros NOMBRE DE USUARIO y CONTRASE\u00d1A vac\u00edos e inv\u00e1lidos en una solicitud HTTP para devolver un mensaje de autenticaci\u00f3n exitosa, eludiendo efectivamente la protecci\u00f3n y permitiendo que un actor de amenazas acceda a recursos internos que de otro modo no estar\u00edan autorizados.<\/p>\n El ataque depende del hecho de que el par\u00e1metro “requirePasswordChange” est\u00e1 establecido en “Y” (es decir, s\u00ed) en la URL, lo que provoca que la autenticaci\u00f3n se omita trivialmente independientemente de los valores pasados \u200b\u200ben los campos de nombre de usuario y contrase\u00f1a.<\/p>\n “La vulnerabilidad permite a los atacantes eludir la autenticaci\u00f3n para lograr una simple falsificaci\u00f3n de solicitud del lado del servidor (SSRF<\/a>),”, seg\u00fan una descripci\u00f3n de la falla en la Base de datos nacional de vulnerabilidad (NVD) del NIST.<\/p>\n Usuarios que conf\u00edan en Apache OFbiz para actualizar a versi\u00f3n 18.12.11<\/a> o m\u00e1s tarde lo antes posible para mitigar cualquier amenaza potencial.<\/p>\n <\/p>\n![\"Apache](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/El-dia-cero-critico-en-el-sistema-ERP-Apache-OfBiz.jpg\" "\\"Apache")
<\/a><\/div>\n<\/a><\/center><\/div>\n