正文

Apache OFBiz 目录遍历致代码执行漏洞来袭，启明星辰提供解决方案

admin
admin V管理员 /0 评论 /123 阅读
0606
此篇文章发布距今已超过230天，您需要注意文章的内容或图片是否可用！
Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。2024年6月，官方发布新版本修复了CVE-2024-36104 Apache OFBiz 目录遍历导致的代码执行漏洞，攻击者可构造恶意请求控制服务器。

漏洞详情

2024年6月6日，启明星辰金睛安全研究团队监控到Apache OFBiz官方发布了路径遍历导致的远程代码执行漏洞CVE-2024-36104情报。
该漏洞的原因是Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径请求URL中的特殊字符（如分号;和%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限。

漏洞复现截图

影响版本

  • Apache OFBiz < 18.12.14

修复建议

1、官方修复方案

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Apache OFBiz >= 18.12.14

官方下载地址：https://ofbiz.apache.org/download.html

2、启明星辰方案

天阗入侵检测与管理系统、天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清入侵防御系统（IPS）、天清Web应用安全网关（WAF）升级到最新版本即可有效检测或防护该漏洞造成的攻击风险。此外，天清Web应用安全网关(WAF)最新版本集成的JAVA通用语义算法可对此漏洞进行天然防护。

•

END

•


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-周飒博客