【漏洞通告】Apache OFBiz远程代码执行漏洞(CVE-2024-47208)
2024-11-19 16:57:0 Author: mp.weixin.qq.com(查看原文) 阅读量:33 收藏

漏洞名称：

Apache OFBiz远程代码执行漏洞(CVE-2024-47208)

组件名称：

Apache-ofbiz

影响范围：

Apache OFBiz < 18.12.17

漏洞类型：

代码执行

利用条件：

1、用户认证：不需要用户认证

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，无需授权即可造成远程代码执行。

<综合评定威胁等级>：高危，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Apache OFBiz是一套足够灵活的业务应用程序，可以在任何行业中使用。通用架构允许开发人员轻松扩展或增强它以创建自定义功能。

漏洞简介

2024年11月19日，深瞳漏洞实验室监测到一则Apache OFBiz组件存在代码执行漏洞的信息，漏洞编号：CVE-2024-47208，漏洞威胁等级：高危。
在18.12.17之前版本的OFBiz中，由于权限控制不当，攻击者可以构造恶意请求通过服务端请求伪造（SSRF）的方式执行任意代码，导致服务器失陷。

影响范围

目前受影响的Apache-ofbiz版本：

Apache OFBiz < 18.12.17

解决方案

如何检测组件系统版本

Apache-ofbiz的web页面右下角记录了当前服务版本信息。

官方修复建议

OfBIZ已发布最新版本修复该漏洞，请受影响用户将Apache OFBiz更新到18.12.17及以上版本。

下载链接：https://ofbiz.apache.org/download.html

深信服解决方案

风险资产发现

支持对Apache-ofbiz的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：

【深信服主机安全检测响应平台CWPP】已发布资产检测方案，指纹ID:0004890。

【深信服云镜YJ】已发布资产检测方案，指纹ID:0004890。

参考链接

https://ofbiz.apache.org/security.html

https://github.com/apache/ofbiz-framework/commit/2aeb282cdc

时间轴

2024/11/19

深瞳漏洞实验室监测到Apache OFBiz远程代码执行漏洞信息。

2024/11/19

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。


文章来源: https://mp.weixin.qq.com/s?__biz=Mzg2NjgzNjA5NQ==&mid=2247523853&idx=2&sn=44f939a81178afad27dca90a02dfbfc6&chksm=ce46151df9319c0b1559eee9e9bf40c82367612f10de3b61f2f666f2558bea2f5f10938518ef&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh