搜索

[28821] 2021-03-22_ApacheOFBiz序列化远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：238
最后更新：2025-01-19
2021-03-22_ApacheOFBiz序列化远程代码执行漏洞 A p a c h e   O F B i z   序 列 化 远 程 代 码 执 行 漏 洞 O t s 安 全   2 0 2 1 - 0 3 - 2 2 周 五 ， A p a c h e 软 件 基 金 会 （ A p a c h e   S o f t w a r e   F o u n d a t i o n ） 解 决 了 A p a c h e   O F B i z 中 的 一 个 严 重 漏 洞 ， 该 漏 洞 可 能 允 许 未 经 身 份 验 证 的 对 手 远 程 夺 取 对 开 源 企 业 资 源 计 划 （ E R P ） 系 统 的 控 制 权 。 跟 踪 为 C V E - 2 0 2 1 - 2 6 2 9 5 ， 这 个 安 全 漏 洞 影 响 之 前 ， 该 软 件 的 所 有 版 本 的 0 6 年 1 2 月 1 7 日 ， 并 采 用 了 “ 不 安 全 反 序 列 化 ” 作 为 攻 击 向 量 允 许 未 经 授 权 的 远 程 攻 击 者 在 服 务 器 上 直 接 执 行 任 意 代 码 。 O F B i z 是 用 于 自 动 化 企 业 流 程 的 基 于 J a v a 的 W e b 框 架 ， 并 提 供 广 泛 的 功 能 ， 包 括 会 计 ， 客 户 关 系 管 理 ， 制 造 运 营 管 理 ， 订 单 管 理 ， 供 应 链 履 行 和 仓 库 管 理 系 统 等 。 具 体 来 说 ， 通 过 利 用 此 漏 洞 ， 恶 意 方 可 以 篡 改 序 列 化 的 数 据 以 插 入 任 意 代 码 ， 这 些 代 码 在 反 序 列 化 时 可 能 会 导 致 远 程 执 行 代 码 。 O F B i z 开 发 人 员 J a c q u e s   L e   R o u x 指 出 ： “ 未 经 身 份 验 证 的 攻 击 者 可 以 利 用 此 漏 洞 成 功 接 管 A p a c h e   O F B i z   。 ” 不 安 全 的 反 序 列 化 已 成 为 数 据 完 整 性 和 其 他 安 全 问 题 的 根 源 ， 开 放 W e b 应 用 程 序 安 全 项 目 （ O W A S P ） 指 出 “ 不 可 信 的 数 据 不 能 被 信 任 以 形 成 良 好 的 格 式 ， 并 且 [ 格 式 不 正 确 的 数 据 或 意 外 的 数 据 可 能 是 不 正 确 的 。 用 于 反 序 列 化 时 滥 用 应 用 程 序 逻 辑 ， 拒 绝 服 务 或 执 行 任 意 代 码 。 ” 云 漏 洞 穿 透 箭 头 实 验 室 的 r 0 0 t 4 d m ， 奇 安 信 集 团 的 L e g e n d s e c   S G L A B 的 M a g i c Z e r o 和 K n o w n s e c   4 0 4 团 队 的 L o n g o f o 在 报 告 漏 洞 方 面 功 不 可 没 。 建 议 将 A p a c h e   O F B i z 升 级 到 最 新 版 本 （ 1 7 . 1 2 . 0 6 ） ， 以 减 轻 与 该 漏 洞 相 关 的 风 险 。 参 考 ： 参 考 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / O F B I Z / T h e + i n f a m o u s + J a v a + s e r i a l i z a t i o n + v u l n e r a b i l i t y h t t p s : / / i s s u e s . a p a c h e . o r g / j i r a / b r o w s e / O F B I Z - 1 2 1 6 7
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理