漏洞名称 : Apache OFBiz任意文件上传漏洞
组件名称 : Apache OFBiz
影响范围 : Apache OFBiz < 17.12.08
漏洞类型 : 任意文件上传
利用条件 :
1、用户认证:需要用户认证
2、触发方式:远程
综合评价 :
<综合评定利用难度>:未知。
<综合评定威胁等级>:高危,能造成远程代码执行。
漏洞分析
1 组件介绍
Apache OFBiz是美国阿帕奇(Apache)软件基金会的一套企业资源计划(ERP)系统。该系统提供了一整套基于Java的Web应用程序组件和工具。
2 漏洞描述
近日,深信服安全团队监测到Apache官方发布了一则任意文件上传漏洞的安全通告,通告披露了OFBiz组件存在任意文件上传漏洞,漏洞编号:CVE-2021-37608,漏洞威胁等级:高危。
该漏洞是由于Apache OFBiz缺少文件扩展名检查,攻击者可利用该漏洞在获得权限的情况下,上传恶意文件,造成远程代码执行攻击,最终可获取服务器最高权限。
影响范围
Apache OFBiz在全球范围内主要分布在中国、爱尔兰和澳大利亚,国内主要分布在浙江、上海和北京。
目前受影响的Apache OFBiz版本:
Apache OFBiz < 17.12.08
解决方案
1 如何检测组件系统版本
在项目目录下有一个VERSION文件,使用cat命令可查看版本信息。
2 官方修复建议
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。
下载链接:
http://ofbiz.apache.org/download.html#vulnerabilities
参考链接
http://mail-archives.apache.org/mod_mbox/www-announce/202108.mbox/%[email protected]%3E
https://issues.apache.org/jira/browse/OFBIZ-12297
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-37608
时间轴
2021/8/17 深信服监测到Apache OFBiz官方发布安全通告。
2021/8/17 深信服千里目安全实验室发布漏洞通告。
点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。
● 扫码关注我们
原文始发于微信公众号(深信服千里目安全实验室):【漏洞通告】Apache OFBiz任意文件上传漏洞 CVE-2021-37608
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论