企業のERPやECバックエンドとして広く活用されているオープンソース製品「Apache OFBiz」において、未認証の第三者がリモートから任意のコードを実行可能な重大な脆弱性（CVE-2024-45195、CVSS 9.8）が公表されました。過去のパッチ（CVE-2024-41857等）の不完全性を突いた攻撃手法であり、PoC（実証コード）もすでに出回っています。

ディレクトリトラバーサルとコントローラーの検証バイパス

本脆弱性は、Webアプリケーション層のURLルーティングとコントローラーのアクセス制御ロジックにおける検証不備に起因します。特別に細工されたHTTPリクエストを送信することで、認証機構を完全にすり抜けて任意のJavaクラスやGroovyスクリプトを実行させることが可能です。

影響を受けるバージョンとアップデート手順

Apache OFBiz 18.12.15以前のすべてのバージョンが影響を受けます。プロジェクトチームは修正版である「Apache OFBiz 18.12.16」をリリースしており、該当システムを運用している管理者はダウンタイムを計画し速やかにバージョンアップを実施してください。