漏洞预警｜Openfire 控制台身份认证绕过

漏洞来源    

https://mp.weixin.qq.com/s/EzfB8CM4y4aNtKFJqSOM1w

漏洞概述    

Openfire存在鉴权绕过漏洞，允许未经身份验证的用户在已配置的 Openfire 环境中使用未经身份验证的 Openfire设置环境，以访问为管理用户保留的 Openfire 管理控制台中的受限页面。

影响版本

3.10.0<=Openfire<4.6.8

4.7.0  <=Openfire<4.7.5

漏洞复现    

已成功复现

         

         

         

修复建议    

勿将 Openfire 管理控制台暴露到外网。

官方已发布新版本，升级至4.6.8 或者 4.7.5 , 下载地址如下：

https://github.com/igniterealtime/Openfire/releases

原文始发于微信公众号（仙友道）：漏洞预警｜Openfire 控制台身份认证绕过