- CNNVD編號：未知
- 危害等級： 未知
- CVE編號：CVE-2021-29200/CVE-2021-30128
- 漏洞類型： 遠程代碼執(zhí)行
- 威脅類型：遠程
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2021-05-21
- 更新時間：2021-05-21
漏洞簡介
1、組件介紹
Apache OFBiz是一個非常著名的電子商務平臺，是一個非常著名的開源項目，提供了創(chuàng)建基于最新J2EE/XML規(guī)范和技術標準，構建大中型企業(yè)級、跨平臺、跨數據庫、跨應用服務器的多層、分布式電子商務類WEB應用系統(tǒng)的框架。
Apache OFBiz最主要的特點是OFBiz提供了一整套的開發(fā)基于Java的web應用程序的組件和工具。包括實體引擎, 服務引擎, 消息引擎，工作流引擎，規(guī)則引擎等。
2、漏洞描述
2021年4月27日，深信服安全團隊監(jiān)測到Apache OFBiz官方發(fā)布安全通告，通告披露了Apache OFBiz組件存在遠程代碼執(zhí)行漏洞，漏洞編號：CVE-2021-29200、CVE-2021-30128。
(1) CVE-2021-29200漏洞描述
Apache OFBiz未對用戶的輸入做合法的過濾，攻擊者可以在未授權的情況下執(zhí)行任意代碼，獲取服務器權限。
(2) CVE-2021-30128漏洞描述
Apache OFBiz未對用戶的輸入做合法的過濾，攻擊者可以構造惡意數據，執(zhí)行任意代碼，獲取服務器權限。
3、漏洞復現
搭建Apache OFBiz組件版本17.12.06環(huán)境，復現漏洞，效果如下：
1. CVE-2021-29200
2. CVE-2021-30128
漏洞公示
如何檢測組件系統(tǒng)版本
訪問Apache OFBiz登錄主頁面，在右下角可以看到當前版本信息：
參考網站
受影響實體
Apache OFBiz是一個著名的電子商務平臺，已經正式成為Apache的頂級項目:Apache OFBiz。世界上有上千個企業(yè)在某方面或多方面依賴于OFBiz。
目前受影響的Apache OFBiz版本：
Apache OFBiz < 17.12.07
補丁
1、官方修復建議
當前官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：
https://www.apache.org/dyn/closer.lua/ofbiz/apache-ofbiz-17.12.07.zip
2、深信服解決方案
【深信服下一代防火墻】可防御此漏洞， 建議用戶將深信服下一代防火墻開啟IPS/WAF防護策略，并更新最新安全防護規(guī)則，即可輕松抵御此高危風險。
【深信服安全感知平臺】結合云端實時熱點高危/緊急漏洞信息，可快速檢出業(yè)務場景下的該漏洞，并可聯動【深信服下一代防火墻等產品】實現對攻擊者IP的封堵。
