【误差通告】Apache OFBiz恣意文件上传误差 (CVE-2021-37608)

宣布时间 2021-08-12



0x00 误差概述

CVE     ID

CVE-2021-37608

时      间

2021-08-11

类      型

文件上传

等      级

高危

远程使用

是

影响规模


攻击重漂后


可用性

高

用户交互

无

所需权限


PoC/EXP

未果真

在野使用

否

 

0x01 误差详情

image.png

 

Apache OFBiz是一款企业流程自动化软件，，，可以资助用户实现企业内营业的自动化，，，它为用户提供了如ERP企业资源妄想、CRM客户关系治理等多种治理功效。。。。

2021年8月11日，，，Apache宣布清静通告，，，果真了OFBiz中的一个恣意文件上传误差（CVE-2021-37608）。。。。由于Apache OFBiz保存校验过失，，，恶意攻击者可以使用此误差上传恣意文件，，，并远程执行恶意代码。。。。

 

影响规模

Apache OFBiz < 17.12.08

 

0x02 处置惩罚建议

现在此误差已经修复。。。。建议受影响用户实时升级更新到17.12.08或更高版本。。。。

下载链接：

http://ofbiz.apache.org/download.html#vulnerabilities

 

补丁链接：

https://issues.apache.org/jira/browse/OFBIZ-12297

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202108.mbox/%3C40716d3e-150d-10d6-ee27-aca4ae0480fb@apache.org%3E

https://issues.apache.org/jira/browse/OFBIZ-12297

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-37608

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-12

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

 

0x06 关于鉴黑担保网

关注以下公众号，，，获取更多资讯：

image.png