Bonitasoft Platform RCE漏洞复现(CVE-2022-25237)

1、产品简介

 Bonitasoft 是一个业务自动化平台，可以更轻松地在业务流程中构建、部署和管理自动化应用程序；Bonita 是一个用于业务流程自动化和优化的开源和可扩展平台。

2、漏洞概述

 在Bonitasoft Authorization漏洞版本，由于 API 授权过滤器中配置问题，通过精心构造的的字符串附加到 API URL，能够绕过权限认证。拥有普通用户权限的攻击者在绕过权限认证后，将恶意代码部署到服务器上，进行远程代码执行。

3、影响范围

For community（社区版）:
2022.1-u0 (7.14.0) 以下

For subscription（订阅版）:
2022.1-u0 (7.14.0) 以下

2021.2-u4 (7.13.4) 以下

2021.1-0307 (7.12.11) 以下

7.11.7 以下

4、环境搭建

    vulfocus在线靶场进行复现

 5、利用流程

 1、访问靶场环境，使用