Openfire是根据开放源 Apache 许可获得许可的实时协作（RTC）服务器。它使用唯一被广泛采用的用于即时消息的开放协议 XMPP（也称为 Jabber）。Openfire 的设置和管理非常简单，但是却提供了坚实的安全性和性能。
Openfire存在鉴权绕过漏洞，允许未经身份验证的用户在已配置的 Openfire 环境中使用未经身份验证的 Openfire设置环境，以访问为管理用户保留的 Openfire 管理控制台中的受限页面。
<filter>
<filter-name>AuthCheck</filter-name>
<filter-class>org.jivesoftware.admin.AuthCheckFilter</filter-class>
<init-param>
<param-name>excludes</param-name>
<param-value>
login.jsp,index.jsp?logout=true,setup/index.jsp,setup/setup-*,.gif,.png,error-serverdown.jsp,loginToken.jsp
</param-value>
</init-param>
</filter>
3.修改openfire.xml使控制台仅回环地址访问
<?xml version="1.0" encoding="UTF-8"?>
<jive>
<adminConsole>
<interface>127.0.0.1</interface>
<port>9090</port>
<securePort>9091</securePort>
</adminConsole>
4.使用AuthFilterSanitizer插件
[1] Administration Console authentication bypass
https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm
[2] (CVE-2021-28164/CVE-2021-34429)Eclipse Jetty WEB-INF敏感信息泄露漏洞分析
https://blog.csdn.net/weixin_50464560/article/details/120608463
原文始发于微信公众号（山石网科安全技术研究院）：openfire鉴权绕过漏洞原理解析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论