Apache OFBiz 任意文件读取和 SSRF 漏洞 (CVE-2023-50968)

漏洞类型 SSRF 发现时间 2023-12-26 漏洞等级 中危
MPS编号 MPS-e3rj-bani CVE编号 CVE-2023-50968 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache OFBiz 是一个开源的企业资源计划系统。
在 getJSONuiLabelArray 接口的处理方法 CommonEvents.java#getJSONuiLabelArray 中,由于 UtilProperties.getMessage(resource, resourceKey, locale) 允许从攻击者可控的 labelObject 中接收 resource 和 resourceKey,攻击者可以传入 URL或文件路径,从而进行服务器端请求伪造(SSRF)攻击和任意文件读取。
参考链接:https://www.oscs1024.com/hd/MPS-e3rj-bani

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.11) 升级 将组件 ofbiz 升级至 18.12.11 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-e3rj-bani

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-e3rj-bani

https://nvd.nist.gov/vuln/detail/CVE-2023-50968

https://github.com/apache/ofbiz-framework/commit/82c17376880a8fd8a11261e1e00dad45cfed344d

https://github.com/apache/ofbiz-framework/commit/d7456c92de84cc41220aadfed175fd73397c0356

https://issues.apache.org/jira/browse/OFBIZ-12875

(0)
上一篇 2023年12月28日 下午12:00
下一篇 2023年12月28日 下午4:00

相关推荐

  • minizip-ng<4.0.3 存在堆缓冲区溢出漏洞 (CVE-2023-48106)

    漏洞类型 堆缓冲区溢出 发现时间 2023-11-23 漏洞等级 高危 MPS编号 MPS-7wpn-d9ve CVE编号 CVE-2023-48106 漏洞影响广度 小 漏洞危害 OSCS 描述 minizip-ng 是一个开源的压缩库,用于创建和解压ZIP格式文件。 minizip-ng 4.0.3之前版本中的 mz_os.c#mz_path_resol…

    2023年11月23日
    0
  • Apache MINA SSHD SFTP路径穿越漏洞 (CVE-2023-35887)

    漏洞类型 路径遍历 发现时间 2023/7/7 漏洞等级 高危 MPS编号 MPS-4amk-710b CVE编号 CVE-2023-35887 漏洞影响广度 – 漏洞危害 OSCS 描述 Apache MINA SSHD 是一个为 Java 的应用程序提供 SSH 支持的 java 库。Apache MINA SSHD 在受影响的版本中,由于没…

    2023年8月30日
    0
  • Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070)

    漏洞类型 反序列化 发现时间 2023-12-05 漏洞等级 严重 MPS编号 MPS-ope5-i4zj CVE编号 CVE-2023-49070 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。Apache XML-RPC 是 XML-RPC 的 Java 实现,XML-RPC 是一种使用 XML o…

    2023年12月6日
    0
  • Mlflow Jinja2 模版注入漏洞 (CVE-2023-6940)

    漏洞类型 命令注入 发现时间 2023-12-20 漏洞等级 严重 MPS编号 MPS-qdjk-tr3g CVE编号 CVE-2023-6940 漏洞影响广度 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 MLflow受影响版本中存在模版注入漏洞。在render_and_merge_yaml方法中,该函数用于渲染和合并基…

    2023年12月21日
    0
  • Apache Superset 默认示例数据库权限提升漏洞 (CVE-2023-40610)

    漏洞类型 SQL注入 发现时间 2023-11-27 漏洞等级 高危 MPS编号 MPS-iztk-bu2h CVE编号 CVE-2023-40610 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化和业务智能平台,可用于数据探索分析和数据可视化。 受影响版本中,默认情况下示例数据库表是在 Superset …

    2023年11月28日
    0