Apache OFBiz 24.09.08 çıktı: kimlik doğrulamasız kod çalıştırma dahil 46 açık kapatıldı
Apache OFBiz ekibi 24.09.08 sürümüyle, oturum açmamış bir saldırganın sunucuda kod çalıştırmasına yol açabilen CVE-2026-83542 ile oturum anahtarı yeniden kullanımına dayalı CVE-2026-82907 dahil geniş bir açık grubunu kapattı.
CVE-2026-83542, CVE-2026-82907
Açık kaynak ERP platformu Apache OFBiz'in 24.09.08 sürümü, 24.09 serisinde bulunan çok sayıda açığı tek seferde kapatıyor. Toplu bildirime göre sürüm 46 CVE'yi düzeltiyor. En ağırı CVE-2026-83542. CVE kaydına göre kimliği doğrulanmamış uzaktaki bir saldırgan, çok parçalı bir yükleme isteğiyle sunucuya özel hazırlanmış widget XML'i bırakabiliyor; bu içerik kimlik doğrulama hatası sayfası oluşturulurken değerlendirildiği için sunucuda kod çalıştırma mümkün hale geliyor. Bazı izleyiciler açığı CVSS 9.8 olarak puanlarken NVD puanlaması henüz tamamlanmadı.
İkinci kritik açık CVE-2026-82907, bir kimlik doğrulama atlatma sorunu. Canlı bir externalLoginKey değerini ele geçiren saldırgan, bu anahtarı yeniden kullanarak anahtarı üreten kullanıcının oturumunu devralabiliyor. Şimdiye kadar iki açık için de doğrulanmış bir public exploit ya da saldırı raporu yok ve CISA KEV listesinde değiller. Ancak OFBiz'in geçmişte kimlik doğrulamasız açıklarının kısa sürede KEV'e girdiği hatırlanırsa, internete açık kurulumlar için gecikmeye yer yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Apache OFBiz | 24.09 serisi, 24.09.08 öncesi | 24.09.08 |
| Apache OFBiz (18.12 ve daha eski) | Üretici bildirimindeki liste | Ayrı patch yok; 24.09.08'e geçiş gerekiyor |
Tam CVE listesi ve ayrıntılar için Apache OFBiz güvenlik sayfasına ve Apache duyuru listesine bakın.
Beni etkiliyor mu?
Kurulu sürümü dosya sisteminden salt okunur olarak görebilirsiniz (kurulum dizinine göre yolu uyarlayın):
cat /opt/ofbiz/VERSION
grep -i "version" /opt/ofbiz/build.gradle
systemctl status ofbizArdından OFBiz'in web arayüzünün (genelde /webtools, /partymgr gibi uygulama yolları) internetten erişilebilir olup olmadığını güvenlik duvarı ya da reverse proxy kurallarınızdan kontrol edin.
Ne yapılmalı?
- OFBiz kurulumlarını 24.09.08 sürümüne yükseltin; 18.12 ve daha eski sürümleri kullananlar için tek yol 24.09.08'e geçiş.
- Yükseltmeye kadar workaround olarak OFBiz arayüzlerine erişimi VPN ya da IP izin listesiyle yalnızca yetkili kullanıcılara sınırlayın.
- Web sunucu kayıtlarında kimlik doğrulama hatası sayfasına yönelik olağan dışı çok parçalı yükleme isteklerini ve beklenmeyen oturum devralmalarını izleyin; yükseltme sonrası aktif oturumları sonlandırıp kullanıcıların yeniden giriş yapmasını sağlayın.
- ERP sistemi iş süreçlerini etkilediği için yükseltmeyi test ortamında doğrulayıp change management onayıyla canlıya alın.
