Apache OFBiz远程代码执行漏洞（CVE-2021-29200/30128）

1. 通告信息

近日，安识科技A-Team团队监测发现Apache OFBiz官方发布了漏洞风险公告，修复了两处漏洞。漏洞编号分别为CVE-2021-29200，CVE-2021-30128。

对此，安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

CVE-2021-29200: 代码执行漏洞

简述: 由于Apache OFBiz存在一处Java RMI反序列化漏洞，未经身份验证的用户可以执行RCE攻击，导致服务器被接管。

CVE-2021-30128: 反序列化漏洞

简述: 由于Apache OFBiz存在不安全的反序列化，可能会导致代码执行，服务器被接管。

3. 漏洞危害

攻击者可以利用漏洞执行任意代码，接管服务器，存在极大的危害。

4. 影响版本

Apache OFBiz < 17.12.07

5. 解决方案

升级 Apache OFBiz 至安全版本（17.12.07）。

https://www.apache.org/dyn/closer.lua/ofbiz/apache-ofbiz-17.12.07.zip

6. 时间轴

【-】2021年4月27日  Apache OFBiz官方发布安全公告

【-】2021年4月28日 安识科技A-Team团队根据官方公告分析

【-】2021年4月28日 安识科技A-Team团队发布安全通告

本文始发于微信公众号（SecPulse安全脉搏）：Apache OFBiz远程代码执行漏洞（CVE-2021-29200/30128）