- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
威胁预警团队
2021/04/28
Apache OFBiz是一个著名的开源电子商务平台，可用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。Apache OFBiz不仅是一个产品及订单管理系统，它还提供了一整套功能，包括客户关系管理、项目进度、计费管理、人力资源管理以及订单管理等。近日，新华三攻防实验室威胁预警团队监测到Apache OFBiz官方发布了一则漏洞风险公告，修复了两处代码执行漏洞(CVE-2021-29200, CVE-2021-30128)。并及时进行了跟踪和分析。
代码执行漏洞(CVE-2021-29200)：
由于Apache OFBiz存在Java RMI反序列化漏洞，未经身份验证的用户可以执行RCE攻击，获取服务器权限，从而控制整台服务器。
反序列化漏洞(CVE-2021-30128)：
由于Apache OFBiz存在不安全的反序列化，攻击者可通过在序列化数据中的构造类描述符，绕过安全限制，导致代码执行，从而接管服务器。
Apache OFBiz < 17.12.07
高危
1、目前Apache官方已经发布OFBiz安全版本，建议受影响用户及时下载更新至安全版本，下载链接：
https://www.apache.org/dyn/closer.lua/ofbiz/apache-ofbiz-17.12.07.zip
1、新华三安全设备防护方案
新华三IPS规则库已有规则43079支持对CVE-2021-30128漏洞的识别，新华三全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。
2、新华三态势感知解决方案
新华三态势感知已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。
3、新华三云安全能力中心解决方案
新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。
1、https://www.mail-archive.com/[email protected]/msg06506.html
2、https://www.mail-archive.com/[email protected]/msg06507.html
产品与解决方案
