Apache OFBiz是一个开源的企业资源规划（ERP）系统，提供了多种商业功能和模块。
2023年12月，长亭科技安全研究员向Apache官方报送了一个未授权远程代码执行漏洞（CVE-2023-51467），攻击者能够利用该漏洞获取服务器权限。近日官方发布新版本修复了该漏洞，该漏洞利用无前置条件，影响范围较大，建议尽快修复漏洞。
漏洞成因
该系统的身份验证机制存在缺陷，可能允许未授权用户通过绕过标准登录流程来获取后台访问权限。此外，在处理特定数据输入时，存在漏洞可能导致不安全的代码执行，增加了系统安全性的风险。
漏洞影响
-
未授权访问和潜在的远程代码执行：此漏洞可能允许攻击者绕过安全限制，实现未授权访问和远程代码执行，严重时可能导致数据泄露、系统控制权被夺取。
Apache Ofbiz < 18.12.11
临时缓解方案
-
增强监控和日志审计：加强对系统登录和数据处理相关操作的监控，以及日志记录的审计。特别关注任何非正常或异常的登录尝试和数据处理请求。
-
限制访问：暂时限制对该系统的访问，仅允许来自可信网络或已验证的用户进行访问。
升级修复方案
Apache官方已发布安全更新，建议访问官网
（https://ofbiz.apache.org/download.html）升级至最新版本。
官方demo站复现截图，现已修复
本地复现截图
云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC原理检测。
洞鉴：以自定义POC的形式支持该漏洞的原理检测。
牧云：使用管理平台 23.05.001 及以上版本的用户可通过升级平台下载应急漏洞情报库升级包（EMERVULN-23.12.027）“漏洞应急”功能支持该漏洞的检测；其它管理平台版本请联系牧云技术支持团队获取该功能。
2023年12月 长亭科技报送漏洞
2023年12月 官方修复漏洞
2023年12月 长亭安全应急响应中心发布通告
参考资料：
[1].https://ofbiz.apache.org/
原文始发于微信公众号（信安404）：【0day】Apache OFBiz 远程代码执行漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论