---
title: "Apache OFBiz 24.09.08 で修正された認証不要の 11 件（CVE-2026-83538・73577・73578・73580・92887・68524・81815・82894・97355・74841・114229）: ログインなしで社内データの閲覧、認証の回避、MySQL/MariaDB での SQL インジェクションなどの恐れ"
url: https://n-t-p.io/worldsecurity/articles/apache-ofbiz-cve-2026-83538-73577-73578-73580-92887-68524-81815-82894-97355-74841-114229-unauthenticated-fixed-in-24-09-08
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-83538, CVE-2026-73577, CVE-2026-73578, CVE-2026-73580, CVE-2026-92887, CVE-2026-68524, CVE-2026-81815, CVE-2026-82894, CVE-2026-97355, CVE-2026-74841, CVE-2026-114229
---

# Apache OFBiz 24.09.08 で修正された認証不要の 11 件（CVE-2026-83538・73577・73578・73580・92887・68524・81815・82894・97355・74841・114229）: ログインなしで社内データの閲覧、認証の回避、MySQL/MariaDB での SQL インジェクションなどの恐れ

> **TL;DR:** Apache OFBiz 24.09.08 で修正された認証不要の 11 件（CVE-2026-83538・73577・73578・73580・92887・68524・81815・82894・97355・74841・114229）。ログインなしで HR・カタログ・店舗の情報の閲覧、保護された画面の認証回避、MySQL/MariaDB での SQL インジェクション、制御ポートからの停止などができる恐れ。Apache・NVD とも点数は未付与で、severity 案は high。悪用・勧告の中身・各点数は未確認。

**要点**
- 24.09.07 まで（件により 24.09 系の 24.09.08 より前）の Apache OFBiz で、NVD 登録 11/5 の約 40 件のうち認証不要の 11 件。24.09.08 で修正。
- ログインなしで HR・カタログ・注文管理の情報を閲覧できる（83538・73580）。公開要求の後ろに画面名を付ける、_LAST_VIEW_NAME_ を使うなどで保護された画面の認証を回避できる恐れ（73577・73578）。
- MySQL／MariaDB の構成では _ic=Y の検索から SQL インジェクション（81815）。既定の Derby と PostgreSQL は影響なし。AdminServer の既定の制御キーで停止（97355）、REST の auth 省略で認証なし呼び出し（92887）。
- Apache・NVD とも点数は未付与のため、severity 案は high（確定待ち）。EPSS 未算出・KEV に OFBiz の 2026 年分なし。
- 悪用・告知とコミットの中身・各 CVE の点数・残り約 20 件の扱い・NVD 最終評価は未確認。

企業向けの業務システム **Apache OFBiz**（ERP・EC）で、2026-11-05 に NVD へ登録された約 40 件のうち、**ログインなしで突ける恐れがある 11 件**をまとめます。登録元は Apache で、NVD の状態は Received または Undergoing Analysis です。影響は 24.09.07 まで（件により 24.09 系の 24.09.08 より前）で、**24.09.08 で修正**されています。同じ日の別の 10 件（コード実行・出荷時の署名鍵での管理者権限など）は別記事で扱い済みです。

## 11 件の内容（NVD の記述から）
| CVE | 内容 | 前提 |
|---|---|---|
| CVE-2026-83538 | Human Resources・Catalog・Order Manager の補助用エンドポイントが認証を省略し権限確認もせず、組織・従業員・商品カタログ・店舗の情報を返す（CWE の分類は記載なし） | 認証不要 |
| CVE-2026-73580 | getHRChild サービスに権限確認がなく、partyId を変えながら部署・役職・従業員 ID・組織関係を再帰的に列挙できる（CWE-200） | 認証不要 |
| CVE-2026-73577 | 公開の要求の後ろに保護された画面名を付ける（例 /catalog/control/ListLocales/showPortalPage）と、公開側の要求として認可され、保護された画面が描画される（認証の回避） | 認証不要 |
| CVE-2026-73578 | 細工した _LAST_VIEW_NAME_ の値が匿名セッションに保存され、のちに元の認証要件を再確認せずに描画される。保護された画面や業務データが見える恐れ | 認証不要 |
| CVE-2026-92887 | REST API の定義（.rest.xml）で auth 属性を省いたとき、本来の既定値（true）ではなく false と解釈され、資格情報なしで API を呼べる | 認証不要。ただし auth 属性を省いた定義がある場合 |
| CVE-2026-81815 | 汎用の検索（performFind）で、大文字小文字を無視する検索（_ic=Y）の値がパラメーター化されず SQL に埋め込まれる。バックスラッシュで文字列を抜け、WHERE 句が常に真になって行を読み出せる（CWE-89） | 認証不要。**MySQL／MariaDB の構成のみ**（既定の Derby と PostgreSQL は影響なし） |
| CVE-2026-68524 | 一時ファイルの扱いと開いたままのファイル記述子を使い、「file:」URI を差し込んで、攻撃者が用意した Screen 定義を読み込ませる（CWE-94） | 認証不要。詳しい条件は記載が短く不明 |
| CVE-2026-82894 | 公開画面 showHelpPublic が、Content の serviceName 欄に保存されたサービスを、要求のパラメーターそのままで実行する。任意ファイルの書き込み・削除、SSRF に至る（CWE-470） | 呼び出しは認証不要。ただし先に CONTENTMGR_CREATE／UPDATE を持つアカウントが serviceName を書き換えておく必要がある |
| CVE-2026-97355 | AdminServer の制御ポートの既定の制御キー（start.properties の固定値）で、状態の取得とサーバーの停止ができる（CWE-259） | 制御ポートに届くこと |
| CVE-2026-74841 | マルチテナント構成で、要求の userTenantId から存在確認の前にテナント名の delegator を作り、失敗した名前もキャッシュに残る。でたらめなテナント ID を送り続けるとメモリとデータベースの負荷が増える（CWE-400） | 認証不要。マルチテナント構成 |
| CVE-2026-114229 | カタログの画像表示（viewImage）の URL に細工して、ログイン中の管理画面の利用者のブラウザで JavaScript を実行させる（CWE-79） | 利用者が URL を開く操作が必要 |

## 評価
- Apache は点数（CVSS）を付けておらず、NVD も未評価です。そのため基準の「認証不要かつ 9 以上は critical」を機械的に当てはめられません。コード実行に直結する記載はなく、多くは情報の閲覧・認証の回避・停止なので、本稿の severity 案は **high** です（最終は確定待ち）。
- 認証の回避（73577・73578）が実際にどこまでの画面・データに及ぶかは、NVD の記述だけでは分かりません。
- FIRST の EPSS はいずれも未算出（2026-11-06 時点）。CISA の KEV に OFBiz の 2026 年の登録はありません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は本稿では確認できていません。

## 対策として考えられること
1. OFBiz を **24.09.08 以降**に更新します。24.09 より前の系統は影響の有無が示されていないため、サポート状況を含めて確認します。
2. 更新までの間は、OFBiz の管理画面・各アプリ（/catalog、/humanres、/ordermgr など）をインターネットに直接公開せず、VPN や許可した IP からだけにします。
3. AdminServer の制御ポートは外部からつながらないようにし、start.properties の制御キーを固有の値に替えます。
4. MySQL／MariaDB を使う場合は、上記の SQL インジェクション（81815）の優先度を上げます。_ic=Y を含む検索要求や、HR 関連の補助エンドポイントへの認証なしのアクセスがアクセスログにないかを確認します。
5. .rest.xml を自作している場合は、auth 属性を明示します。マルチテナントを使う場合は、でたらめなテナント ID の要求が来ていないかを見ます。

## 未確認の点
- 実際の攻撃での悪用の有無。
- Apache の告知（lists.apache.org のスレッド）、修正のコミット、24.09.08 のリリースノートの中身（本稿では NVD の記述のみ読みました）。
- 各 CVE の点数、24.09 より前の系統の影響、73577・73578・68524 で見える範囲の詳細。
- 同じ日に登録された残りの約 20 件（ログイン済みの低権限アカウントが前提のもの、XSS・SSRF・XXE など）は、本稿の対象外です。
- NVD の最終評価（現在は未評価または分析中で、変わる可能性があります）。


## 出典
- [NVD CVE-2026-83538](https://nvd.nist.gov/vuln/detail/CVE-2026-83538) — NIST NVD
- [NVD CVE-2026-73577](https://nvd.nist.gov/vuln/detail/CVE-2026-73577) — NIST NVD
- [NVD CVE-2026-81815](https://nvd.nist.gov/vuln/detail/CVE-2026-81815) — NIST NVD
- [Apache OFBiz 告知（NVD の参照先 lists.apache.org。未取得）](https://lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz) — Apache Software Foundation
- [FIRST EPSS API（2026-11-06 時点いずれも未算出）](https://api.first.org/data/v1/epss?cve=CVE-2026-83538) — FIRST
- [CISA Known Exploited Vulnerabilities（2026-11-06 に検索、OFBiz の 2026 年分の掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/apache-ofbiz-cve-2026-83538-73577-73578-73580-92887-68524-81815-82894-97355-74841-114229-unauthenticated-fixed-in-24-09-08