Apache OFBiz <12.12.18 路径遍历漏洞 (CVE-2024-25065)

漏洞类型 路径遍历 发现时间 2024-02-29 漏洞等级 高危
MPS编号 MPS-rfy8-vc9m CVE编号 CVE-2024-25065 漏洞影响广度

漏洞危害

OSCS 描述
Apache OFBiz 是一个开源的企业资源计划系统。
Apache OFBiz 中由于未充分验证用户输入的 contextPath 而导致存在路径遍历漏洞,未授权的攻击者可以通过构造恶意请求绕过认证,进而访问系统中的资源。修复代码通过将contextPath转换为一个URI对象,并调用.normalize()方法来规范化路径,从而防止路径遍历。
参考链接:https://www.oscs1024.com/hd/MPS-rfy8-vc9m

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.12) 升级 将 ofbiz 升级至 18.12.12 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-rfy8-vc9m

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-rfy8-vc9m

https://issues.apache.org/jira/browse/OFBIZ-12894

https://github.com/apache/ofbiz-framework/commit/0d9ac6e4b22d1e0ba84913c43afe7243847ea833

https://seclists.org/oss-sec/2024/q1/177

(0)
上一篇 2024年2月28日 下午12:00
下一篇 2024年2月29日 下午12:00

相关推荐

  • MLflow<2.9.1 存在SSTI漏洞 (CVE-2023-6709)

    漏洞类型 模板注入 发现时间 2023-12-12 漏洞等级 严重 MPS编号 MPS-sv6t-fu0k CVE编号 CVE-2023-6709 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于管理机器学习生命周期的开源平台,recipes 是用于快速构建模型的框架。 MLflow 之前版本中由于直接使用 jinja2 模版引擎加载用户可控…

    2023年12月13日
    0
  • Google Chrome<120.0.6099.199 存在释放后使用漏洞 (CVE-2024-0222)

    漏洞类型 UAF 发现时间 2024-01-04 漏洞等级 高危 MPS编号 MPS-ler0-8tok CVE编号 CVE-2024-0222 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。ANGLE 是 Google Chrome 中用于提供图形API的库,包括 OpenGL ES 和 V…

    2024年1月5日
    0
  • Splunk Enterprise for Windows 反序列化漏洞 (CVE-2024-23678)

    漏洞类型 输入验证不恰当 发现时间 2024-01-23 漏洞等级 高危 MPS编号 MPS-qxjm-zyb4 CVE编号 CVE-2024-23678 漏洞影响广度 一般 漏洞危害 OSCS 描述 Splunk 是一个机器数据引擎,用于收集、索引和利用应用程序、服务器和设备生成的快速移动型计算机数据 。 Splunk Enterprise for Win…

    2024年1月24日
    0
  • follow-redirects<1.15.4 主机名验证不当漏洞 (CVE-2023-26159)

    漏洞类型 输入验证不恰当 发现时间 2024-01-02 漏洞等级 高危 MPS编号 MPS-2023-5153 CVE编号 CVE-2023-26159 漏洞影响广度 极小 漏洞危害 OSCS 描述 follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。 follow-redirects 1.15.4之前版本…

    2024年1月3日
    0
  • Apache Shiro FORM 重定向漏洞 (CVE-2023-46750)

    漏洞类型 跨站重定向 发现时间 2023-11-12 漏洞等级 低危 MPS编号 MPS-14×5-9n6b CVE编号 CVE-2023-46750 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Shiro 是一个开源的Java安全框架,用于简化应用程序的身份验证、授权、加密和会话管理等安全相关的操作。 在受影响版本中,由于在FORM…

    2023年11月14日
    0