Apache OFBiz 미인증 원격 코드 실행(RCE) 및 권한 우회 취약점 보안 권고 (CVE-2024-38856)

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2024-38856)은 Apache OFBiz의 부적절한 권한 부여(Incorrect Authorization, CWE-863) 메커니즘으로 인해 발생합니다. Apache OFBiz는 특정 엔드포인트에 대해 인증 요구 여부를 설정 파일에 정의합니다. 그러나 인증이 필요 없는(Unauthenticated) 공용 엔드포인트를 호출하는 과정에서, 내부 스크린 정의가 자체적인 권한 검증을 수행하지 않고 엔드포인트의 보안 설정에만 의존할 때 보안 경계가 무너집니다. 공격자는 인증이 필요 없는 뷰(View)나 컨트롤러 매핑을 악용하여 권한 검증 단계를 우회하고 내부의 민감한 스크린 렌더링 엔진에 직접 접근할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 인증이 필요 없는 엔드포인트(예: '/control/forgotPassword' 등)를 요청하는 동시에, 내부 뷰 핸들러가 처리할 대상 뷰(View)를 강제로 지정하는 파라미터를 조작하여 전송합니다. Apache OFBiz의 요청 처리 파이프라인은 요청된 엔드포인트의 인증 면제 상태만 확인한 후, 실제 렌더링되는 내부 스크린에 대한 추가적인 권한 검증을 생략합니다. 이 과정에서 Groovy 템플릿 엔진이나 스크린 렌더러가 트리거되며, 공격자는 렌더링 컨텍스트 내에 악성 스크립트나 표현식(Expression)을 주입하여 대상 서버에서 원격 코드 실행(RCE)을 달성할 수 있습니다. 본 취약점은 실제 공격에 적극적으로 악용되고 있어 CISA KEV에 등재되었으며, EPSS 점수가 0.99를 초과하여 매우 높은 위협 수준을 나타냅니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, 공격자가 아무런 권한 없이 네트워크를 통해 원격으로 시스템을 완전히 장악할 수 있도록 허용합니다. 성공적인 익스플로잇 시, 공격자는 ERP 및 공급망 관리 시스템 내의 민감한 비즈니스 데이터(고객 정보, 금융 기록, 거래 데이터 등)를 탈취하거나 변조할 수 있습니다. 또한, 웹 서버 프로세스 권한을 획득한 후 내부 네트워크로의 횡적 이동(Lateral Movement)을 시도하거나 랜섬웨어를 유포하는 등 기업 인프라 전체에 치명적인 피해를 입힐 수 있습니다.