1. 墨知首页
  2. 漏洞

Apache OFBiz <12.12.18 路径遍历漏洞 (CVE-2024-25065)

• 漏洞
漏洞类型 路径遍历 发现时间 2024-02-29 漏洞等级 高危
MPS编号 MPS-rfy8-vc9m CVE编号 CVE-2024-25065 漏洞影响广度 小
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
Apache OFBiz 是一个开源的企业资源计划系统。
Apache OFBiz 中由于未充分验证用户输入的 contextPath 而导致存在路径遍历漏洞，未授权的攻击者可以通过构造恶意请求绕过认证，进而访问系统中的资源。修复代码通过将contextPath转换为一个URI对象，并调用.normalize()方法来规范化路径，从而防止路径遍历。
参考链接：https://www.oscs1024.com/hd/MPS-rfy8-vc9m

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.12) 升级 将 ofbiz 升级至 18.12.12 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-rfy8-vc9m

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-rfy8-vc9m

https://issues.apache.org/jira/browse/OFBIZ-12894

https://github.com/apache/ofbiz-framework/commit/0d9ac6e4b22d1e0ba84913c43afe7243847ea833

https://seclists.org/oss-sec/2024/q1/177

赞 (0)
上一篇 2024年2月28日 下午12:00
下一篇 2024年2月29日 下午12:00

相关推荐

  • 企业微信私有化2.5-2.6.93版本后台 API 未授权访问漏洞 [有POC] 漏洞

    企业微信私有化2.5-2.6.93版本后台 API 未授权访问漏洞 [有POC]

    漏洞类型 未授权敏感信息泄露 发现时间 2023/8/12 漏洞等级 高危 MPS编号 MPS-3mwt-574l CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 企业微信私有化2.5.x版本及2.6.930000版本以下后台中存在接口未授权访问漏洞，攻击者通过访问/cgi-bin/gateway/agentinfo接口可获得Secr…

    2023年9月1日
    0
  • vCenter Server 远程代码执行漏洞 (CVE-2023-34048) 漏洞

    vCenter Server 远程代码执行漏洞 (CVE-2023-34048)

    漏洞类型 越界写入 发现时间 2023-10-26 漏洞等级 严重 MPS编号 MPS-b28s-4xal CVE编号 CVE-2023-34048 漏洞影响广度 一般 漏洞危害 OSCS 描述 vCenter Server是一种虚拟化管理软件，用于集中管理和监控VMware虚拟化环境中的多个虚拟机和主机。DCERPC协议是一种远程过程调用协议，能使处于同一…

    2023年10月26日
    0

  • NPM组件 @lain-test-org/test-package 等窃取主机敏感信息

    【高危】NPM组件 @lain-test-org/test-package 等窃取主机敏感信息 漏洞描述 当用户安装受影响版本的 @lain-test-org/test-package 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。 MPS编号 MPS-7xqh-0t6i 处置建议 强烈建议修复 发现时间…

    漏洞 2025年7月22日
    0
  • NPM组件 @blocks-shared/atom-panel 等窃取主机敏感信息 漏洞

    NPM组件 @blocks-shared/atom-panel 等窃取主机敏感信息

    【高危】NPM组件 @blocks-shared/atom-panel 等窃取主机敏感信息 漏洞描述 当用户安装受影响版本的 @blocks-shared/atom-panel 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。 MPS编号 MPS-8htd-4bis 处置建议 强烈建议修复 发现时间 202…

    2025年7月12日
    0
  • Apache OpenOffice<4.1.15 任意宏脚本执行漏洞 (CVE-2023-47804) 漏洞

    Apache OpenOffice<4.1.15 任意宏脚本执行漏洞 (CVE-2023-47804)

    漏洞类型 代码注入 发现时间 2023-12-29 漏洞等级 高危 MPS编号 MPS-8ch4-z16y CVE编号 CVE-2023-47804 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache OpenOffice是开源的Office套件。 Apache OpenOffice文档中可以包含用于调用具有任意参数的内部宏链接。基于此目的其实现了多…

    2023年12月30日
    0