漏洞预警 | Openfire身份认证绕过漏洞

2023年6月14日18:06:50评论59 views字数 594阅读1分58秒阅读模式

0x00 漏洞编号

0x01 危险等级

0x02 漏洞概述

Openfire是一个基于XMPP协议的实时协作服务器，它是一个开源的项目，使用Apache许可证授权。它可以支持多种平台，提供强大的安全性和性能。openfire可以用来搭建聊天室、群组、视频会议等应用。

漏洞预警 | Openfire身份认证绕过漏洞

0x03 漏洞详情

CVE-2023-32315

漏洞类型：路径遍历处理不当

影响：身份认证绕过

简述：Openfire在3.10.0-4.6.7和4.7.0-4.7.4版本中存在身份认证绕过漏洞，允许未经身份验证的用户在已配置的Openfire环境中使用未经身份验证的Openfire安装环境，以访问Openfire管理控制台中为管理用户保留的受限页面。

0x04 影响版本

0x05 POC

https://github.com/advisories/GHSA-gw42-f939-fhvm

仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。

0x06 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://github.com/igniterealtime/Openfire

原文始发于微信公众号（浅安安全）：漏洞预警 | Openfire身份认证绕过漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

CVE-2023-32315