Apache OFBiz 远程代码执行漏洞(CVE-2021-29200)

发布时间 2021-04-28

0x00 漏洞概述

CVE  ID

CVE-2021-29200

时   间

2021-04-28

类   型

RCE

等   级

高危

远程利用

影响范围

Apache OFBiz < 17.12.07

PoC/EXP

未公开

在野利用

 

0x01 漏洞详情

image.png

OFBiz是一个著名的电子商务平台,现已成为Apache顶级项目。它提供了创建基于最新J2EE/XML规范和技术标准,主要用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。

2021年04月27日,Apache官方发布安全公告,公开了Apache OFBiz中的一个远程代码执行漏洞(CVE-2021-29200)和一个反序列化漏洞(CVE-2021-30128)。

Apache OFBiz反序列化漏洞(CVE-2021-30128)

Apache OFBiz在17.12.07之前的版本中存在反序列化漏洞。

 

Apache OFBiz远程代码执行漏洞(CVE-2021-29200)

由于使用RMI(远程方法调用)导致不安全的反序列化,未经身份验证的攻击者可以通过利用此漏洞远程执行代码。

 

0x02 处置建议

目前官方已修复了此漏洞,建议升级到Apache OFBiz 17.12.07或更高版本。

下载链接:

https://ofbiz.apache.org/download.html#vulnerabilities

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%3Cfec5f041-0cc9-730f-478c-15926792b2a7@apache.org%3E

http://mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%3C74ac1d8c-ad68-3ceb-8445-624bce15087f@apache.org%3E

https://ofbiz.apache.org/release-notes-17.12.07.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30128

 

0x04 时间线

2021-04-27  Apache发布安全公告

2021-04-28  VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/

image.png