Apache OFBiz 更新修复了导致远程代码执行的高严重性缺陷

Apache OFBiz 开源企业资源规划 （ERP） 系统中解决了一个新的安全漏洞，如果成功利用该漏洞，可能会导致在 Linux 和 Windows 上执行未经身份验证的远程代码。

该高严重性漏洞被跟踪为 CVE-2024-45195（CVSS 评分：7.5），影响 18.12.16 之前的所有软件版本。

“没有有效凭据的攻击者利用 Web 应用程序中缺少的视图授权检查在服务器上执行任意代码，”Rapid7 安全研究员 Ryan Emmons 在一份新报告中说。

值得注意的是，CVE-2024-45195 绕过了一系列问题，包括 CVE-2024-32113、CVE-2024-36104 和 CVE-2024-38856，项目维护者在过去几个月中解决了这些问题。

此后，CVE-2024-32113 和 CVE-2024-38856 都遭到了广泛的积极利用，前者被用来部署 Mirai 僵尸网络恶意软件。

Rapid7 表示，所有三个较旧的缺点都源于“使控制器和视图地图状态不同步的能力”，这个问题在任何补丁中都从未得到完全解决。

该漏洞的一个后果是，攻击者可能会滥用它来执行代码或 SQL 查询，并实现无需身份验证的远程代码执行。

最新的补丁“验证了如果用户未经身份验证，视图应该允许匿名访问，而不是纯粹基于目标控制器执行授权检查。

Apache OFBiz 版本 18.12.16 还解决了一个关键的服务器端请求伪造 （SSRF） 漏洞（CVE-2024-45507，CVSS 评分：9.8），该漏洞可能通过利用特制的 URL 导致未经授权的访问和系统受损。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：Apache OFBiz 更新修复了导致远程代码执行的高严重性缺陷