【已复现】Apache OFBiz 路径遍历漏洞(CVE-2024-36104)安全风险通告

最新推荐文章于 2024-09-27 20:15:00 发布
最新推荐文章于 2024-09-27 20:15:00 发布
阅读量645 收藏
点赞数
文章标签： 安全
原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519685&idx=5&sn=cd7840386d236e97bc419b0a943f9d25&chksm=ebb293580ed34f5f83e3d3813ee29c46670efc6d7857820762f6dd81f83a3d6bb07d56a242ab&scene=126&sessionid=0
版权

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述

漏洞名称

Apache OFBiz 路径遍历漏洞

漏洞编号

QVD-2024-21464,CVE-2024-36104

公开时间

2024-06-02

影响量级

万级

奇安信评级

高危

CVSS 3.1分数

9.8

威胁类型

代码执行

利用可能性

高

POC状态

已公开

在野利用状态

未发现

EXP状态

已公开

技术细节状态

已公开

危害描述：未授权的攻击者可以通过构造恶意请求绕过认证，进⽽访问系统中的敏感接口，造成任意代码执行。

01

漏洞详情

>>>>

影响组件

Apache OFBiz是⼀个著名的电⼦商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建⼤中型企业级、跨平台、跨数据库、跨应⽤服务器的多层、分布式电⼦商务类WEB应⽤系统的框架。

>>>>

漏洞描述

近日，奇安信CERT监测到Apache OFBiz 路径遍历漏洞(CVE-2024-36104) 在互联网上公开，未授权的攻击者可以通过构造恶意请求绕过认证，进⽽访问系统中的敏感接口，造成任意代码执行。目前该漏洞技术细节与EXP已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02

影响范围

>>>>

影响版本

Apache OFBiz < 18.12.14

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Apache OFBiz 路径遍历漏洞(CVE-2024-36104)，截图如下：

7824332c74f72d043b51b1d1e4430b91.png

04

处置建议

>>>>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Apache OFBiz >= 18.12.14

官方补丁下载地址：https://ofbiz.apache.org/download.html

>>>>

产品解决方案

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0605.14344或以上版本。规则ID及规则名称：

0x10021BAF，Apache OFBiz 路径遍历漏洞(CVE-2024-36104)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Apache OFBiz 路径遍历漏洞(CVE-2024-36104)的防护。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：8068，建议用户尽快升级检测规则库至2405301600以上版本并启用该检测规则。

奇安信开源卫士已支持

奇安信开源卫士20240605. 648 版本已支持对Apache OFBiz 路径遍历漏洞(CVE-2024-36104)的检测。

奇安信自动化渗透测试系统检测方案

奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击，请将插件版本和指纹版本升级到202406072600以上版本。规则名称：Apache OFBiz CVE-2024-36104 命令执行漏洞。奇安信自动化渗透测试系统规则升级方法：系统管理->升级管理->插件升级（指纹升级），选择“网络升级”或“本地升级”。

05

参考资料

[1]https://ofbiz.apache.org/security.html

[2]https://issues.apache.org/jira/browse/OFBIZ-13092

[3]https://github.com/apache/ofbiz-framework/commit/d33ce31012

[4]https://github.com/apache/ofbiz-framework/commit/474e806816

06

时间线

2024年6月6日，奇安信 CERT发布安全风险通告。

07

漏洞情报服务

奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：

e9849a4169bb8ec45334ec5c13fc56e7.png

3cc1ab4c4e8a35707a2c187f98b31d4b.png

9e9f420be96506908ca71503355793ea.png

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

【漏洞复现】Apache OFBiz 路径遍历导致RCE漏洞(CVE-2024-36104)
qq_67810151的博客
06-07 814
Apache OFBiz是一个功能强大、易于定制和扩展的开源ERP系统，适用于各种类型的企业。通过利用最新的技术标准和开源项目，Apache OFBiz为企业提供了一个高效、稳定、灵活的电子商务平台解决方案。
Apache OFBiz 路径遍历导致RCE漏洞复现（CVE-2024-36104）
0xSec
06-04 2522
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径（请求URL中的特殊字符（如 ；、%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限。
Apache OFBiz路径遍历漏洞(CVE-2024-36104)
WuYSec的博客
06-05 603
Apache OFBiz 18.12.14之前版本存在命令执行漏洞 ，该漏洞源于ControlFilter对路径限制不当导致用户能够访问ProgramExport导出功能执行Groovy代码。Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。无垠Sec专注安全研究，包括但不限于代码审计、漏洞挖掘、思路分享等。目前仅需50，你就能得到常见系统1day漏洞POC、代码审计、漏洞分析、漏洞挖掘等。
【漏洞复现】Apache OFBiz 授权不当致远程代码执行
今天是几号的博客
08-06 1041
攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。Apache OFBiz 是一个开源的企业资源计划 (ERP) 和客户关系管理 (CRM) 软件平台，提供全面的企业管理解决方案，包括电子商务、库存管理、制造、会计等功能，支持企业进行灵活的定制和扩展。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
Apache OFBiz XML-RPC远程代码执行漏洞(CVE-2023-49070)漏洞复现
qq_53733257的博客
12-11 2253
CVE-2023-49070 漏洞复现
漏洞复现-Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070)
玄道的网安博客
08-11 592
Apache XML-RPC 是 XML-RPC 的 Java 实现，XML-RPC 是一种使用 XML over HTTP 来实现远程过程调用的协议。USERNAME=&PASSWORD=s&requirePasswordChange=Y绕过针对/control/xmlrpc的接口过滤限制（CVE-2020-9496），从而使用 Apache XMLRPC 客户端库的应用程序权限执行任意代码。所以，只要我们在发送XML-RPC请求的时候，将。这个补丁的作用是为XML-RPC的接口增加鉴权。
Apache OFBiz 远程代码执行漏洞复现(CVE-2024-45195)
0xSec
09-06 1416
2024年9月，互联网上披露了Apache OFBiz 远程代码执行漏洞(CVE-2024-45195)，该漏洞允许未经身份验证的远程攻击者通过SSRF漏洞控制请求从而写入恶意文件。攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295)
小小猪的博客
12-18 2055
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295) 介绍： OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等,OFBiz 已经正式成为 Apache 的
CVE-2024-36104 Apache OFBiz路径遍历RCE漏洞复现（附POC）
mashiro_hibiki的博客
06-05 2054
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。，安全技术水平的催化者，星球针对成员的技术问题，快速提供思考方向及解决方案，并为星友提供多种方向的学习资料、安全工具、POC&EXP以及各种学习笔记等，以引导者和催化剂的方式助力安全技术水平的提升。Apache_OFBiz是一套基于通用架构的企业应用程序，使用通用数据，逻辑和流程组件。
Apache OFBiz SSRF漏洞CVE-2024-45507分析
INSBUG的博客
09-27 992
由于Apache OFBiz在从Groovy加载文件时未对用户提交的数据进行过滤，未经身份验证的恶意攻击者通过服务器端请求伪造的方式向任意系统发起请求，加载远程恶意xml执行任意代码，从而获取目标服务器的控制权限，具体来说，攻击者可以构造一个恶意的 XML 文件，并通过 SSRF 攻击让 Apache OFBiz 的服务器加载并执行这个文件中的 Groovy 脚本。接收的URL将被视作一个模型屏幕（modelScreen）并进行解析，参照可以根据代码中的示例来构建一个概念验证包含命令的XML文件。
奇安信安全扫描漏洞解决路径遍历和存储型xss和反射xss攻击漏洞
11-09
亲测可用，中级漏洞，解决服务器段请求伪造 final String forURL = ESAPI.encoder().encodeForURL(url); restTemplate.exchange(forURL, HttpMethod.GET,new HttpEntity<String>(headers), List.class, params);
春秋云境 CVE-2022-4230 夺旗
05-02
介绍如何 利用 CVE-2022-4230 的 WP Statistics WordPress 插件13.2.9 漏洞利用。 漏洞描述：WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它。
【复现】Apache OFBiz RCE漏洞(CVE-2023-51467)_03
fushuang333的博客
12-30 1051
Apache OFBiz RCE漏洞。通过提交恶意构造的参数破坏命令语句结构，会执行恶意命令，甚至控制整个服务器。
漏洞情报 | Apache OFBiz 远程代码执行漏洞
爱国小白帽
03-22 532
0x01 漏洞描述 OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 近日，360漏洞云监测到Apache OFBiz官方披露了Apache OFBiz远程代码执行漏洞的安全通告，该漏洞出现在ofbiz/base/util/SafeObjectInputStream.java中，该功能为框架中的通用序列化处理类，未经身份验证的攻击者可构造恶意请求.
Catalyze安全知识库
mashiro_hibiki的博客
05-21 425
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。分享行业内最新动态，解答交流各类技术问题。涉及方向包括Web渗透、免杀绕过、红蓝攻防、代码审计、应急响应、安全培训、CTF、小白入门、职业规划和疑难解答。
CVE-2020-9496 Apache OFBiz XML-RPC反序列化漏洞复现
Shadow_DAI_990101的博客
08-23 3448
CVE-2020-9496 Apache OFBiz XML-RPC反序列化漏洞复现
奇安信-源代码安全缺陷问题解决记录-路径遍历、API误用、配置文件明文
xnxqwzy的博客
03-11 3348
除了明文处理，其他几种缺陷感觉非常多此一举，仅仅就是为了不被扫描到缺陷，所以上面很多改动的意义也仅仅是为了通过扫描。奇安信漏洞说明第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。
CISA督促软件维护人员修复路径遍历漏洞
smellycat000的专栏
05-06 236
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士CISA和FBI督促软件企业审计产品并在交付前修复路径遍历漏洞。攻击者可利用路径遍历漏洞（也被称为目录遍历漏洞）创建或覆写用于执行代码或绕过安全机制如认证的重要文件。这类安全缺陷可导致威胁行动者访问敏感数据如凭据可用于暴力破解业已存在的账户以攻陷目标系统。另外一个可能的场景是拿下或阻止对易受攻击系统的访问权限，这些系统可被覆写、删除或损坏用于认证...
VMware Tools本地提权漏洞CVE-2022-31676分析与复现
Button12138的博客
01-31 1401
VMware Tools本地提权漏洞CVE-2022-31676分析与复现
春秋云境CVE-2023-33440
最新发布
01-12
### 关于春秋云境 CVE-2023-33440 漏洞详情 对于CVE-2023-33440，在当前提供的参考资料中并未直接提及此特定编号的漏洞细节。然而，基于以往处理类似安全事件的经验以及Apache Struts项目的安全公告模式[^1]，可以推测这类CVE通常涉及Web应用程序框架中存在的某种形式的安全缺陷。 针对未具体说明的CVE编号，建议采取以下通用措施来应对潜在风险： #### 一、漏洞影响范围 此类漏洞可能会影响使用了受影响版本组件的应用程序，特别是那些依赖于特定功能实现的部分。例如，在之前的案例中提到的不同类型的Struts2漏洞均涉及到不同场景下的远程代码执行可能性或文件操作不当等问题[^2][^3][^4]。 #### 二、修复方案概述 为了有效缓解并最终解决由CVE-2023-33440引起的风险，应当遵循官方发布的最新指南进行更新或打补丁。一般情况下，这包括但不限于以下几个方面： - **及时升级软件**：确保所使用的Apache Struts库是最新的稳定版。 - **审查现有配置**：检查应用服务器上的所有设置是否符合最佳实践标准，尤其是与安全性有关的部分。 - **强化输入验证机制**：加强对用户提交数据的有效性和合法性校验，防止恶意构造的数据触发漏洞。 - **监控异常行为**：部署日志审计工具和服务端防护产品，以便快速发现任何可疑活动。 由于缺乏具体的漏洞描述和技术分析文档作为依据，上述内容仅能作为一个大致方向指导。强烈推荐查阅来自权威渠道的第一手资料获取最准确的信息。 ```bash # 假设存在一个命令用于查询最新的安全通告 curl https://struts.apache.org/security.html | grep "CVE-2023-33440" ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值