wxvl/doc/【漏洞通告】Apache OFBiz远程代码执行漏洞(CVE-2024-47208).md

13 KiB
Raw Blame History

【漏洞通告】Apache OFBiz远程代码执行漏洞CVE-2024-47208

启明星辰安全简讯 2024-11-18 08:56

一、漏洞****概述

漏洞名称

Apache OFBiz远程代码执行漏洞

CVE   ID

CVE-2024-47208

漏洞类型

代码注入、SSRF

发现时间

2024-11-18

漏洞评分

暂无

漏洞等级

高危

攻击向量

网络

所需权限

利用难度

用户交互

PoC/EXP

未公开

在野利用

未发现

Apache OFBiz是一个著名的电子商务平台提供了创建基于最新J2EE/ XML规范和技术标准构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。

2024年11月18日启明星辰集团VSRC监测到Apache OFBiz中修复了一个远程代码执行漏洞CVE-2024-47208

Apache OFBiz 18.12.17 之前版本中存在远程代码执行漏洞由于对URL校验不严格攻击者可通过构造恶意URL绕过校验逻辑并注入Groovy 表达式代码或触发服务器端请求伪造SSRF攻击导致远程代码执行或访问未授权资源。

此外Apache OFBiz 18.12.17 之前版本中还存在另一个远程代码执行漏洞CVE-2024-48962由于在处理URL参数时未正确对特殊字符进行转义和编码攻击者可以构造恶意URL参数绕过 SameSite cookie限制通过目标重定向和服务器端模板注入SSTI实现跨站请求伪造CSRF攻击进而触发远程代码执行。

二、影响范围

Apache OFBiz < 18.12.17

三、安全措施

3.1 升级版本

目前这些漏洞已经修复,受影响用户可升级到以下版本:

Apache OFBiz >= 18.12.17

下载链接:

https://ofbiz.apache.org/download.html

3.2 临时措施

暂无。

3.3 通用建议

l
定期更新系统补丁,减少系统漏洞,提升服务器的安全性。

l
加强系统和网络的访问控制修改防火墙策略关闭非必要的应用端口或服务减少将危险服务如SSH、RDP等暴露到公网减少攻击面。

l
使用企业级安全产品,提升企业的网络安全性能。

l
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。

l
启用强密码策略并设置为定期修改。

3.4 参考链接

https://lists.apache.org/thread/ls1w4ywdobn4hok1tpfm1x23n0q59o74

https://issues.apache.org/jira/browse/OFBIZ-13158

https://issues.apache.org/jira/browse/OFBIZ-13162

https://www.openwall.com/lists/oss-security/2024/11/16/3