0x00 漏洞编号

• CVE-2023-32315

0x01 危险等级

• 高危
  

0x02 漏洞概述

Openfire是一个基于XMPP协议的实时协作服务器，它是一个开源的项目，使用Apache许可证授权。它可以支持多种平台，提供强大的安全性和性能。openfire可以用来搭建聊天室、群组、视频会议等应用。

0x03 漏洞详情

CVE-2023-32315

漏洞类型：路径遍历处理不当

影响：身份认证绕过

简述：Openfire在3.10.0-4.6.7和4.7.0-4.7.4版本中存在身份认证绕过漏洞，允许未经身份验证的用户在已配置的Openfire环境中使用未经身份验证的Openfire安装环境，以访问Openfire管理控制台中为管理用户保留的受限页面。

0x04 影响版本

• 3.10.0 <= Openfire < 4.6.8

• 4.7.0 <= Openfire < 4.7.5

0x05 POC

https://github.com/advisories/GHSA-gw42-f939-fhvm

仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。

0x06 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://github.com/igniterealtime/Openfire

原文始发于微信公众号（浅安安全）：漏洞预警 | Openfire身份认证绕过漏洞