Apache OFBiz 远程代码执行漏洞(CVE-2021-29200)
发布时间 2021-04-280x00 漏洞概述
CVE ID | CVE-2021-29200 | 时 间 | 2021-04-28 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | Apache OFBiz < 17.12.07 |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 漏洞详情
OFBiz是一个著名的电子商务平台,现已成为Apache顶级项目。它提供了创建基于最新J2EE/XML规范和技术标准,主要用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。
2021年04月27日,Apache官方发布安全公告,公开了Apache OFBiz中的一个远程代码执行漏洞(CVE-2021-29200)和一个反序列化漏洞(CVE-2021-30128)。
Apache OFBiz反序列化漏洞(CVE-2021-30128)
Apache OFBiz在17.12.07之前的版本中存在反序列化漏洞。
Apache OFBiz远程代码执行漏洞(CVE-2021-29200)
由于使用RMI(远程方法调用)导致不安全的反序列化,未经身份验证的攻击者可以通过利用此漏洞远程执行代码。
0x02 处置建议
目前官方已修复了此漏洞,建议升级到Apache OFBiz 17.12.07或更高版本。
下载链接:
https://ofbiz.apache.org/download.html#vulnerabilities
0x03 参考链接
http://mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%3Cfec5f041-0cc9-730f-478c-15926792b2a7@apache.org%3E
http://mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%3C74ac1d8c-ad68-3ceb-8445-624bce15087f@apache.org%3E
https://ofbiz.apache.org/release-notes-17.12.07.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30128
0x04 时间线
2021-04-27 Apache发布安全公告
2021-04-28 VSRC发布安全通告
0x05 附录
CVSS评分标准官网:http://www.first.org/cvss/