Apache OFBiz远程代码执行缝隙

颁布功夫 2021-03-22

0x00 缝隙概述

CVE  ID

CVE-2021-26295

时   间

2021-03-22

类   型

 RCE

等   级

高危

远程利用

是

影响领域

Apache OFBiz < 17.12.06

 

0x01 缝隙详情

image.png

 

OFBiz是一个驰名的电子商务平台，现已成为Apache顶级项目。它提供了创建基于最新J2EE/XML规范和技术尺度，重要用于构建大中型企业级、跨平台、跨数据库、跨利用服务器的多层、散布式电子商务类WEB利用系统的框架。

2021年03月21日，Apache官方颁布安全布告，公开了Apache OFBiz中的一个远程代码执行缝隙（CVE-2021-26295）。由于使用Java RMI（Java远程步骤挪用）导致不安全的反序列化，未经身份验证的攻击者能够通过利用此缝隙远程执行代码，最终节造Apache OFBiz。

 

0x02 措置建议

目前官方已建复了此缝隙，建议升级至Apache OFBiz 17.12.06。

下载链接：

https://ofbiz.apache.org/download.html

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3Cf8a84478-af53-adb1-21c7-db3174e81b7b@apache.org%3E

https://ofbiz.apache.org/release-notes-17.12.06.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-26295

 

0x04 功夫线

2021-03-21  Apache颁布安全布告

2021-03-22  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png