Apache OFBiz披露新RCE漏洞,黑客可以接管ERP系统
2021-03-23 12:32:40 Author: www.freebuf.com(查看原文) 阅读量:178 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

近日,Apache修复了一个高危远程代码执行漏洞,该漏洞可能允许攻击者接管ERP系统。

1616470168_60596098997c08fd6e5e3.png!small

OFBiz是Apache下属的一个开源企业资源规划(ERP)系统开发框架,它提供了一套企业应用程序,将企业的许多业务流程集成并自动化。它提供广泛的功能,包括:会计、客户关系管理、生产运营管理、订单管理、供应链履行和仓库管理系统等等。

此次的漏洞被命名为CVE-2021-26295,影响17.12.06之前的所有软件版本,并采用 "不安全反序列化 "作为攻击向量,允许未经授权的远程攻击者直接在服务器上执行任意代码。

具体来说,通过这个漏洞,攻击者可以篡改序列化数据,以插入任意代码,当被反序列化后,可以进行远程代码执行。也就是说,未经认证的攻击者可以利用这个漏洞成功接管Apache OFBiz。

不安全的反序列化一直是数据完整性和其他安全问题的重要原因。专家指出格式错误的数据或者意外的数据很可能被用来滥用应用逻辑、拒绝服务或执行任意代码。

目前,用户可以通过更新至17.12.06版本来进行修复,同时做好资产自查以及预防工作,以避免漏洞被黑客利用从而造成损失。

参考:

securityaffairs

thehackernews


文章来源: https://www.freebuf.com/news/267162.html
如有侵权请联系:admin#unsafe.sh