La Agencia de Seguridad Cibern\u00e9tica y de Infraestructura de Estados Unidos (CISA) inform\u00f3 el martes agregado<\/a> una falla de seguridad cr\u00edtica que afecta al sistema de planificaci\u00f3n de recursos empresariales (ERP) de c\u00f3digo abierto Apache OFBiz a sus vulnerabilidades explotadas conocidas (KEV<\/a>) cat\u00e1logo, citando evidencia de explotaci\u00f3n activa en la naturaleza.<\/p>\n La vulnerabilidad, conocida como CVE-2024-38856, tiene una puntuaci\u00f3n CVSS de 9,8, lo que indica una gravedad cr\u00edtica.<\/p>\n “Apache OFBiz contiene una vulnerabilidad de autorizaci\u00f3n incorrecta que podr\u00eda permitir la ejecuci\u00f3n remota de c\u00f3digo a trav\u00e9s de una carga \u00fatil de Groovy en el contexto del proceso de usuario OFBiz por parte de un atacante no autenticado”, dijo CISA.<\/p>\n Los detalles de la vulnerabilidad salieron a la luz por primera vez a principios de este mes despu\u00e9s de que SonicWall la describiera como una omisi\u00f3n de parche para otra falla, CVE-2024-36104, que permite la ejecuci\u00f3n remota de c\u00f3digo<\/a> A trav\u00e9s de solicitudes especialmente elaboradas.<\/p>\n “Una falla en la funcionalidad de vista de anulaci\u00f3n expone puntos finales cr\u00edticos a actores de amenazas no autenticados que utilizan una solicitud dise\u00f1ada, allanando el camino para la ejecuci\u00f3n remota de c\u00f3digo”, dijo el investigador de SonicWall, Hasib Vhora.<\/p>\n El desarrollo se produjo casi tres semanas despu\u00e9s de que CISA colocara una tercera falla que afectaba a Apache OFBiz (CVE-2024-32113) en el cat\u00e1logo KEV, luego de informes de que hab\u00eda sido abusado para implementar la botnet Mirai.<\/p>\n Si bien actualmente no hay informes p\u00fablicos sobre c\u00f3mo se est\u00e1 utilizando CVE-2024-38856 como arma, se han realizado exploits de prueba de concepto (PoC) disponible p\u00fablicamente<\/a>.<\/p>\n La explotaci\u00f3n activa de dos fallas de Apache OFBiz es una indicaci\u00f3n de que los atacantes est\u00e1n mostrando un inter\u00e9s significativo y una tendencia a aprovechar las fallas reveladas p\u00fablicamente para violar oportunistamente instancias susceptibles con fines nefastos.<\/p>\n Se recomienda a las organizaciones que actualicen a la versi\u00f3n 18.12.15 para mitigar la amenaza. Se ha ordenado a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las actualizaciones necesarias antes del 17 de septiembre de 2024.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/CISA-advierte-de-una-falla-critica-en-Apache-OFBiz-en.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n