解説動画 セキュリティ
【解説】Apache OFBizで脆弱性46件｜24.09.08へ更新と鍵の再作成
この動画の要点
認証不要の任意コード実行、9.8
- 本線は24.09.08へ更新
- 更新後に鍵を作り直す
- 管理画面の公開範囲を確認
※ 台本・ナレーション・映像は AI で作っています。内容は記事をもとにしています。
台本（文字起こし）
Apache OFBizが24.09.08を公開し、46件の脆弱性を修正しました。最も深刻な問題は、ログインしていない人がサーバー上でコードを実行できるものです。
本線は24.09.08へ更新
対応の本線は、24.09.08への更新です。18.12系や24.09.07以前には、今回の修正を取り込んだ別の版が出ていません。18.12系を使っている環境は、24.09系への移行が前提になります。
更新後に鍵を作り直す
次に、JWTの署名鍵です。24.09.06か24.09.07から上げて、古い設定ファイルを持ち越している場合、更新だけでは既定の鍵が残ります。更新後に、鍵を入れ替える専用のコマンドを実行します。利用者は全員、再ログインが必要です。
管理画面の公開範囲を確認
当日中に、業務アプリの画面がインターネットから開けるかを確かめます。開ける状態なら、更新が済むまで、リバースプロキシで社内のIPアドレスに絞ります。ただし、これは時間稼ぎで、修正の代わりにはなりません。
版の見分け方や確認のコマンドは、記事で詳しく紹介しています。
