漏洞描述：
ApacheOFBiz 是一个开源的企业资源计划系统,在 getJSONuiLabelArray 接口的处理方法 CommonEvents.java#getJSONuiLabelArray 中，由于 UtilProperties.getMessage(resource, resourceKey, locale) 允许从攻击者可控的 labelObject 中接收 resource 和 resourceKey，攻击者可以传入 URL或文件路径，从而进行服务器端请求伪造（SSRF）攻击和任意文件读取。
影响范围：
ofbiz(-∞, 18.12.11)
修复方案：
将组件 ofbiz 升级至 18.12.11 及以上版本
参考链接：
https://github.com/apache/ofbiz-framework/commit/82c17376880a8fd8a11261e1e00dad45cfed344d
https://github.com/apache/ofbiz-framework/commit/d7456c92de84cc41220aadfed175fd73397c0356
https://issues.apache.org/jira/browse/OFBIZ-12875
原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache OFBiz 任意文件读取和 SSRF 漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论