Apache OFBiz 目录遍历导致RCE漏洞 (CVE-2024-32113)

漏洞类型 路径遍历 发现时间 2024-05-08 漏洞等级 严重
MPS编号 MPS-whuo-m9s3 CVE编号 CVE-2024-32113 漏洞影响广度 极小

漏洞危害

OSCS 描述
Apache OFBiz 是一个开源的企业资源计划系统,OFBiz支持运行Groovy代码用于编程导出数据。
在18.12.13之前的版本中,ControlFilter类针对URL路径限制不当导致攻击者可绕过权限控制访问后台/webtools/control/ProgramExport接口,进而利用编程导出功能,通过执行Groovy代码获取机器权限。
参考链接:https://www.oscs1024.com/hd/MPS-whuo-m9s3

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.13) 缓解措施 在Web服务器中禁止/webtools/control/ProgramExport路径访问
参考链接:https://www.oscs1024.com/hd/MPS-whuo-m9s3

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-whuo-m9s3

https://nvd.nist.gov/vuln/detail/CVE-2024-32113

https://issues.apache.org/jira/browse/OFBIZ-13006

https://lists.apache.org/thread/w6s60okgkxp2th1sr8vx0ndmgk68fqrd

https://ofbiz.apache.org/download.html

https://ofbiz.apache.org/security.html

https://github.com/apache/ofbiz-framework/commit/d1eb4773550aee43ca18166791332e6e516a469f

(0)
上一篇 2024年5月10日
下一篇 2024年5月11日

相关推荐

  • Redis SORT_RO命令可绕过 ACL 配置 (CVE-2023-41053)

    漏洞类型 权限管理不当 发现时间 2023-09-07 漏洞等级 中危 MPS编号 MPS-2pvi-xqr4 CVE编号 CVE-2023-41053 漏洞影响广度 广 漏洞危害 OSCS 描述 Redis 是一个开源的键值型非关系数据库,SORT_RO命令用于对存储在 Redis 中的数据进行排序,ACL 配置指 Redis 的访问控制列表。 受影响版本…

    2023年9月11日
    0
  • Spring Web UriComponentsBuilder URL解析不当漏洞 (CVE-2024-22243)

    漏洞类型 SSRF 发现时间 2024-02-21 漏洞等级 高危 MPS编号 MPS-uwzo-gx91 CVE编号 CVE-2024-22243 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring Framework 是一个开源的Java应用程序框架,UriComponentsBuilder是Spring Web中用于构建和操作URI的工具类。 受…

    2024年2月23日
    0
  • FFmpeg < 7.0 释放后使用漏洞 (CVE-2024-31578)

    漏洞类型 UAF 发现时间 2024-04-17 漏洞等级 高危 MPS编号 MPS-y94m-eo71 CVE编号 CVE-2024-31578 漏洞影响广度 一般 漏洞危害 OSCS 描述 FFmpeg 是处理多媒体内容的开源库和工具的集合。 FFmpeg < 7.0 版本中,由于av_hwframe_ctx_init函数中错误地假设frames_uni...

    漏洞 2024年4月22日
    0
  • Apache UIMA Java SDK <3.5.0 反序列化漏洞 (CVE-2023-39913)

    漏洞类型 反序列化 发现时间 2023-11-08 漏洞等级 高危 MPS编号 MPS-8r5d-9m7h CVE编号 CVE-2023-39913 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache UIMA 是一个用于分析非结构化内容(比如文本、视频和音频)的组件架构和软件框架实现。 由于Apache UIMA Java SDK在反序列化Java对…

    2023年11月9日
    0
  • MinIO 权限提升漏洞 (CVE-2024-24747)

    漏洞类型 权限管理不当 发现时间 2024-02-01 漏洞等级 高危 MPS编号 MPS-80no-taj1 CVE编号 CVE-2024-24747 漏洞影响广度 广 漏洞危害 OSCS 描述 MinIO是一个高性能对象存储服务。 Minio中创建访问密钥时权限继承存在问题。创建新的访问密钥会继承其父密钥对s3:*和admin:*的操作权限,如果在访问密…

    2024年2月2日
    0