Apache ofbiz -CVE-2023-49070-RCE-POC

2023年12月16日19:02:34评论62 views字数 591阅读1分58秒阅读模式

描述

Apache Ofbiz 18.12.09 中的预授权 RCE。这是由于 XML-RPC 不再维护而仍然存在。此问题影响 Apache OFBiz：2010 年 12 月 18 日之前。建议用户升级至18.12.10版本

ofbiz-CVE-2023-49070-RCE-POC

这是 CVE-2023-49070 的预授权 RCE POC，影响了 Apache ofbiz 应用程序 https://github.com/advisories/GHSA-9rm6-p86c-42xm

更多信息请参考：10.12.10 由于 xml-rpc java 反序列化错误。

dockered 易受攻击的 ofbiz 镜像：

https://hub.docker.com/r/marcopinball/ofbiz-demo

您必须从这里下载 ysoserial-all.jar

wget https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jar

Apache ofbiz -CVE-2023-49070-RCE-POC

远程代码执行POC

Apache ofbiz -CVE-2023-49070-RCE-POC

请在虚拟测试环境食用 - 项目地址：

https://github.com/abdoghazy2015/ofbiz-CVE-2023-49070-RCE-POC?tab=readme-ov-file

原文始发于微信公众号（Ots安全）：Apache ofbiz -CVE-2023-49070-RCE-POC