検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Apache OFBiz 24.09.08 で修正された認証不要の 11 件（CVE-2026-83538・73577・73578・73580・92887・68524・81815・82894・97355・74841・114229）: ログインなしで社内データの閲覧、認証の回避、MySQL/MariaDB での SQL インジェクションなどの恐れ

World Security 編集部
AI 支援あり
目次（4）

CVE-2026-83538

CVE-2026-73577

CVE-2026-73578

CVE-2026-73580

CVE-2026-92887

CVE-2026-68524

CVE-2026-81815

CVE-2026-82894

CVE-2026-97355

CVE-2026-74841

CVE-2026-114229

企業向けの業務システム Apache OFBiz（ERP・EC）で、2026-11-05 に NVD へ登録された約 40 件のうち、ログインなしで突ける恐れがある 11 件をまとめます。登録元は Apache で、NVD の状態は Received または Undergoing Analysis です。影響は 24.09.07 まで（件により 24.09 系の 24.09.08 より前）で、24.09.08 で修正されています。同じ日の別の 10 件（コード実行・出荷時の署名鍵での管理者権限など）は別記事で扱い済みです。

11 件の内容（NVD の記述から）

CVE内容前提
CVE-2026-83538Human Resources・Catalog・Order Manager の補助用エンドポイントが認証を省略し権限確認もせず、組織・従業員・商品カタログ・店舗の情報を返す（CWE の分類は記載なし）認証不要
CVE-2026-73580getHRChild サービスに権限確認がなく、partyId を変えながら部署・役職・従業員 ID・組織関係を再帰的に列挙できる（CWE-200）認証不要
CVE-2026-73577公開の要求の後ろに保護された画面名を付ける（例 /catalog/control/ListLocales/showPortalPage）と、公開側の要求として認可され、保護された画面が描画される（認証の回避）認証不要
CVE-2026-73578細工した LAST_VIEW_NAME の値が匿名セッションに保存され、のちに元の認証要件を再確認せずに描画される。保護された画面や業務データが見える恐れ認証不要
CVE-2026-92887REST API の定義（.rest.xml）で auth 属性を省いたとき、本来の既定値（true）ではなく false と解釈され、資格情報なしで API を呼べる認証不要。ただし auth 属性を省いた定義がある場合
CVE-2026-81815汎用の検索（performFind）で、大文字小文字を無視する検索（_ic=Y）の値がパラメーター化されず SQL に埋め込まれる。バックスラッシュで文字列を抜け、WHERE 句が常に真になって行を読み出せる（CWE-89）認証不要。MySQL／MariaDB の構成のみ（既定の Derby と PostgreSQL は影響なし）
CVE-2026-68524一時ファイルの扱いと開いたままのファイル記述子を使い、「file:」URI を差し込んで、攻撃者が用意した Screen 定義を読み込ませる（CWE-94）認証不要。詳しい条件は記載が短く不明
CVE-2026-82894公開画面 showHelpPublic が、Content の serviceName 欄に保存されたサービスを、要求のパラメーターそのままで実行する。任意ファイルの書き込み・削除、SSRF に至る（CWE-470）呼び出しは認証不要。ただし先に CONTENTMGR_CREATE／UPDATE を持つアカウントが serviceName を書き換えておく必要がある
CVE-2026-97355AdminServer の制御ポートの既定の制御キー（start.properties の固定値）で、状態の取得とサーバーの停止ができる（CWE-259）制御ポートに届くこと
CVE-2026-74841マルチテナント構成で、要求の userTenantId から存在確認の前にテナント名の delegator を作り、失敗した名前もキャッシュに残る。でたらめなテナント ID を送り続けるとメモリとデータベースの負荷が増える（CWE-400）認証不要。マルチテナント構成
CVE-2026-114229カタログの画像表示（viewImage）の URL に細工して、ログイン中の管理画面の利用者のブラウザで JavaScript を実行させる（CWE-79）利用者が URL を開く操作が必要

評価

  • Apache は点数（CVSS）を付けておらず、NVD も未評価です。そのため基準の「認証不要かつ 9 以上は critical」を機械的に当てはめられません。コード実行に直結する記載はなく、多くは情報の閲覧・認証の回避・停止なので、本稿の severity 案は high です（最終は確定待ち）。
  • 認証の回避（73577・73578）が実際にどこまでの画面・データに及ぶかは、NVD の記述だけでは分かりません。
  • FIRST の EPSS はいずれも未算出（2026-11-06 時点）。CISA の KEV に OFBiz の 2026 年の登録はありません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は本稿では確認できていません。

対策として考えられること

  1. OFBiz を 24.09.08 以降に更新します。24.09 より前の系統は影響の有無が示されていないため、サポート状況を含めて確認します。
  2. 更新までの間は、OFBiz の管理画面・各アプリ（/catalog、/humanres、/ordermgr など）をインターネットに直接公開せず、VPN や許可した IP からだけにします。
  3. AdminServer の制御ポートは外部からつながらないようにし、start.properties の制御キーを固有の値に替えます。
  4. MySQL／MariaDB を使う場合は、上記の SQL インジェクション（81815）の優先度を上げます。_ic=Y を含む検索要求や、HR 関連の補助エンドポイントへの認証なしのアクセスがアクセスログにないかを確認します。
  5. .rest.xml を自作している場合は、auth 属性を明示します。マルチテナントを使う場合は、でたらめなテナント ID の要求が来ていないかを見ます。

未確認の点

  • 実際の攻撃での悪用の有無。
  • Apache の告知（lists.apache.org のスレッド）、修正のコミット、24.09.08 のリリースノートの中身（本稿では NVD の記述のみ読みました）。
  • 各 CVE の点数、24.09 より前の系統の影響、73577・73578・68524 で見える範囲の詳細。
  • 同じ日に登録された残りの約 20 件（ログイン済みの低権限アカウントが前提のもの、XSS・SSRF・XXE など）は、本稿の対象外です。
  • NVD の最終評価（現在は未評価または分析中で、変わる可能性があります）。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-06）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事