Apache OfBiz ERP 系统中存在严重 0day，可导致企业易受攻击

该漏洞位于登录功能中，是因为另外一个严重漏洞CVE-2023-49070的补丁不完整导致的，后者的CVSS评分为9.8，在本月初发布。

SonicWall Capture Labs 威胁研究团队发现了这个漏洞，并指出，“修复 CVE-2023-49070的安全措施未能处理根因，因此仍然存在认证绕过问题。”CVE-2023-49070是一个预认证的远程代码执行漏洞，影响18.12.10之前的版本。如遭成功利用，该漏洞可导致威胁行动者完全控制服务器并嗅探敏感数据，它是因为 Apache OFBiz 中遭弃用的 XML-RPC 组件引发的。

SonicWall 指出，CVE-2023-51467可通过HTTP请求中空的和不合法的USERNAME和PASSWORD 参数触发，返回认证成功消息，从而规避该防护措施并可导致威胁行动者越权访问内部资源。

该攻击利用参数 “requirePasswordChange” 在URL中被设置为 “Y”（即yes），导致不管用户名和密码字段中是否传递了这些值，都会导致认证遭绕过。NIST NVD对该漏洞的说明为，“该漏洞可使攻击者绕过认证，实现简单的SSRF”。

Apache OFBiz 用户应尽快升级至18.12.11或后续版本。