Apache OFBiz は 24.09.08 へ：認証なしで Groovy が評価される RCE（CVE-2026-83542）
OFBiz 24.09.08 より前では、アップロード中のウィジェット XML を画面定義として読み込ませ、ログイン失敗画面の描画時にサンドボックスなしの Groovy を評価させられる。公開しているなら即 24.09.08 へ上げる。
いつ使うか
- Apache OFBiz をインターネットや広い社内網に出しているとき
- 管理系アプリのログイン画面が外部から届くとき
何が起きるか
- 攻撃者は細工したウィジェット XML を multipart で送り、認証なしの JSON 要求で画面定義の参照先（
mainDecoratorLocationなど）を上書きする。 - その後の認証失敗画面の描画で、OFBiz がアップロード処理中のファイル記述子から XML を画面定義として読む。
- 追加検証では、SFA の認証不要リクエストからも到達し、HTTP 200 の本文にコマンド出力が返る例が報告されている。CVSS 9.8（critical）。CISA の SSVC（2026-11-06 時点）では悪用は「なし」。
対応
- バージョンを確認し、24.09.08 未満なら直ちに更新する（プロジェクト告知。同リリースで計 46 件の CVE も修正）。
- すぐ更新できない場合は、OFBiz をインターネットから外すか、管理ログイン経路を VPN／IP 制限の内側に閉じる。
- ログで見慣れない multipart アップロード、認証失敗直後の異常な画面定義参照、想定外の管理系 JSON を探す。
注意
- 「ログイン画面だけ」でも足りない。認証前に到達する画面定義の差し替えが入口になる。
- 修正 PR は #1654／#1653。運用手順は一次のセキュリティページを優先する。