Apache OFBiz 远程代码执行漏洞（CVE-2021-29200）
发布时间 2021-04-280x00 漏洞概述
CVE ID | CVE-2021-29200 | 时 间 | 2021-04-28 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | Apache OFBiz < 17.12.07 |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 漏洞详情
OFBiz是一个著名的电子商务平台，现已成为Apache顶级项目。它提供了创建基于最新J2EE/XML规范和技术标准，主要用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。
2021年04月27日，Apache官方发布安全公告，公开了Apache OFBiz中的一个远程代码执行漏洞（CVE-2021-29200）和一个反序列化漏洞（CVE-2021-30128）。
Apache OFBiz反序列化漏洞（CVE-2021-30128）
Apache OFBiz在17.12.07之前的版本中存在反序列化漏洞。
Apache OFBiz远程代码执行漏洞（CVE-2021-29200）
由于使用RMI（远程方法调用）导致不安全的反序列化，未经身份验证的攻击者可以通过利用此漏洞远程执行代码。
0x02 处置建议
目前官方已修复了此漏洞，建议升级到Apache OFBiz 17.12.07或更高版本。
下载链接：
//ofbiz.apache.org/download.html#vulnerabilities
0x03 参考链接
//mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%[email protected]%3E
//mail-archives.apache.org/mod_mbox/www-announce/202104.mbox/%[email protected]%3E
//ofbiz.apache.org/release-notes-17.12.07.html
//cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30128
0x04 时间线
2021-04-27 Apache发布安全公告
2021-04-28 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：//www.first.org/cvss/
京公网安备11010802024551号