漏洞公告
近日，安恒信息CERT监测到Openfire存在身份认证绕过漏洞(CVE-2023-32315)，目前技术细节及PoC在互联网中已公开。访问Openfire 控制台时，未经身份验证的攻击者能够通过URL变形越权访问Openfire管理控制台页面，从而进一步执行任意代码，控制服务器权限。
安恒信息中央研究院已复现此漏洞。
Openfire存在身份认证绕过漏洞复现截图
漏洞信息
Openfire是一种开源的即时通讯（IM）和聊天服务器软件，可以在Windows、Linux和macOS等操作系统上运行。它支持多种协议，包括XMPP（Jabber），允许用户在一个安全且私密的环境中进行实时通信。
| 漏洞标题 |
Openfire存在身份认证绕过漏洞 |
||
| 应急响应等级 | 2级 | ||
| 漏洞类型 | 身份认证绕过 | ||
| 影响目标 | 影响厂商 |
Ignite Realtime |
|
| 影响产品 |
Openfire |
||
| 影响版本 |
[3.10.0,4.6.7]、[4.7.0,4.7.4] |
||
| 安全版本 |
4.6.8、4.7.5、4.8.0 |
||
| 漏洞编号 | CVE编号 |
CVE-2023-32315 |
|
| CNVD编号 | 未分配 | ||
| CNNVD编号 | 未分配 | ||
| 安恒CERT编号 |
DM-202305-000532 |
||
| 漏洞标签 | WEB应用 | ||
| CVSS3.1评分 |
7.5 |
危害等级 | 高危 |
| CVSS向量 | 访问途径（AV） | 网络 | |
| 攻击复杂度（AC） | 低 | ||
| 所需权限（PR） | 无需任何权限 | ||
| 用户交互（UI） | 不需要用户交互 | ||
| 影响范围（S） | 不变 | ||
| 机密性影响（C） | 高 | ||
| 完整性影响（I） | 无 | ||
| 可用性影响（A） | 无 | ||
| 威胁状态 | Poc情况 | 已发现 | |
| Exp情况 | 未发现 | ||
| 在野利用 | 未发现 | ||
| 研究情况 | 已复现 | ||
| 舆情热度 | 公众号 | 低 | |
| 低 | |||
| 微博 | 低 | ||
该产品主要使用客户行业分布为广泛，基于CVSS3.1评分该漏洞无需前置条件，漏洞危害性极高，建议客户尽快做好自查及防护。
修复方案
官方修复方案：
官方已发布修复方案，受影响的用户建议更新至安全版本：4.6.8、4.7.5、4.8.0
https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm
临时缓解措施：
非必要不建议将该系统暴露在公网
参考资料
https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm
安恒信息CERT
2023年6月
原文始发于微信公众号（安恒信息CERT）：【已复现】Openfire存在身份认证绕过漏洞(CVE-2023-32315)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论