Apache OFBiz 更新修复了导致远程代码执行的高严重性漏洞

Apache OFBiz 开源企业资源规划 （ERP） 系统中解决了一个新的安全漏洞，如果成功利用该漏洞，可能会导致在 Linux 和 Windows 上执行未经身份验证的远程代码。

该高严重性漏洞被跟踪为 CVE-2024-45195（CVSS 评分：7.5），影响 18.12.16 之前的所有软件版本。

“没有有效凭据的攻击者利用 Web 应用程序中缺少的视图授权检查在服务器上执行任意代码，”Rapid7 安全研究员 Ryan Emmons 在一份新报告中说。

值得注意的是，CVE-2024-45195 绕过了一系列问题，包括 CVE-2024-32113、CVE-2024-36104 和 CVE-2024-38856，项目维护者在过去几个月中解决了这些问题。

此后，CVE-2024-32113 和 CVE-2024-38856 都遭到了广泛的积极利用，前者被用来部署 Mirai 僵尸网络恶意软件。

Rapid7 表示，所有三个较旧的缺点都源于“使控制器和视图地图状态不同步的能力”，这个问题在任何补丁中都从未得到完全解决。

该漏洞的一个后果是，攻击者可能会滥用它来执行代码或 SQL 查询，并实现无需身份验证的远程代码执行。

最新的补丁“验证了如果用户未经身份验证，视图应该允许匿名访问，而不是纯粹基于目标控制器执行授权检查。

Apache OFBiz 版本 18.12.16 还解决了一个关键的服务器端请求伪造 （SSRF） 漏洞（CVE-2024-45507，CVSS 评分：9.8），该漏洞可能通过利用特制的 URL 导致未经授权的访问和系统受损。