漏洞名称 : Apache OFBiz任意文件上传漏洞
组件名称 : Apache OFBiz
影响范围 : Apache OFBiz < 17.12.08
漏洞类型 : 任意文件上传
利用条件 :
综合评价 :
<综合评定利用难度>：未知。
<综合评定威胁等级>：高危，能造成远程代码执行。
漏洞分析
1 组件介绍
Apache OFBiz是美国阿帕奇（Apache）软件基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。
2 漏洞描述
近日，深信服安全团队监测到Apache官方发布了一则任意文件上传漏洞的安全通告，通告披露了OFBiz组件存在任意文件上传漏洞，漏洞编号：CVE-2021-37608，漏洞威胁等级：高危。
该漏洞是由于Apache OFBiz缺少文件扩展名检查，攻击者可利用该漏洞在获得权限的情况下，上传恶意文件，造成远程代码执行攻击，最终可获取服务器最高权限。
影响范围
Apache OFBiz在全球范围内主要分布在中国、爱尔兰和澳大利亚，国内主要分布在浙江、上海和北京。
目前受影响的Apache OFBiz版本：
Apache OFBiz < 17.12.08
解决方案
1 如何检测组件系统版本
在项目目录下有一个VERSION文件，使用cat命令可查看版本信息。
2 官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。
下载链接：
http://ofbiz.apache.org/download.html#vulnerabilities
参考链接
http://mail-archives.apache.org/mod_mbox/www-announce/202108.mbox/%[email protected]%3E
https://issues.apache.org/jira/browse/OFBIZ-12297
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-37608
时间轴
2021/8/17 深信服监测到Apache OFBiz官方发布安全通告。
2021/8/17 深信服千里目安全实验室发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。
● 扫码关注我们
原文始发于微信公众号（深信服千里目安全实验室）：【漏洞通告】Apache OFBiz任意文件上传漏洞 CVE-2021-37608
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论