🇰🇷 한글 설명
Apache OFBiz 24.09 이전 버전(24.09.08 미만)의 ServiceMultiEventHandler에서 발생하는 자원 소모 취약점입니다. 인증되지 않은 원격 공격자가 다중 폼 행 개수 파라미터를 조작해 서버 요청 스레드를 장시간 점유할 수 있습니다. 24.09.08 버전으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
공격자가 아주 작은 요청 하나로 서버가 같은 작업을 수없이 반복하게 만들 수 있습니다. 그 결과 서버 응답이 느려지거나 멈춰 서비스가 마비될 수 있습니다.
🇺🇸 원문 (English)
Uncontrolled Resource Consumption in ServiceMultiEventHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to pin a server request thread for an attacker-chosen number of synchronous service dispatches, up to the signed-integer maximum, by submitting a single small HTTP request whose parameter names encode a row count via the "o" suffix used by multi-form submissions, because UtilHttp.getMultiFormRowCount derives that count from the largest such suffix with no upper bound and ServiceMultiEventHandler.invoke then loops that many times calling dispatcher.runSync, with the request-map for getFinAccountTransRunningTotalAndBalances reaching this handler with no authentication or CSRF requirement on a stock deployment. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
📍 영향받는 시스템
Apache OFBiz 24.09 이상 24.09.08 미만 버전 (모든 플랫폼)
⚔️ 공격 벡터
인증 없이 다중 폼 파라미터 이름의 'o' 접미사에 큰 행 개수를 담은 단일 HTTP 요청을 보내 서버 스레드를 장시간 점유
🛡️ 대응 방법
Apache OFBiz를 24.09.08 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 정보가 24.09.08 미만 24.09.x이면 취약하며, 24.09.08 이상이거나 OFBiz가 설치되어 있지 않으면 해당 취약점에 영향받지 않습니다.
dpkg -l ofbiz 2>/dev/null | grep -i ofbiz; cat $(find / -name 'ofbiz*.jar' -o -name 'ofbiz*.properties' 2>/dev/null | head -1) 2>/dev/null | grep -i version