【漏洞通告】Apache OFBiz服务端请求伪造漏洞 （CVE-2024-45507）

深瞳漏洞实验室 深信服千里目安全技术中心 2024-09-05 16:04

漏洞名称：

Apache OFBiz服务端请求伪造漏洞(CVE-2024-45507)

组件名称：

Apache-ofbiz

影响范围：

Apache OFBiz < 18.12.16

漏洞类型：

服务器端伪造请求（SSRF）

利用条件：

1、用户认证：不需要用户认证

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，能造成远程代码执行。

<综合评定威胁等级>：高危，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Apache OFBiz是一套足够灵活的业务应用程序，可以在任何行业中使用。通用架构允许开发人员轻松扩展或增强它以创建自定义功能。

漏洞简介

2024年9月5日，深瞳漏洞实验室监测到一则Apache-ofbiz组件存在服务器端伪造请求（SSRF）漏洞的信息，漏洞编号：CVE-2024-45507，漏洞威胁等级：高危。

Apache OFBiz 存在服务器请求伪造致RCE漏洞。受影响版本中，由于 GroovyUtil、ScriptUtil 和 ScreenFactory 类未对加载的资源路径进行有效校验，攻击者可以通过传入URL加载远程的Groovy 脚本和 Screen 资源，触发远程代码执行。

影响范围

目前受影响的Apache-ofbiz版本：

Apache OFBiz < 18.12.16

解决方案

如何检测组件系统版本

Apache-ofbiz的web页面右下角记录了当前服务版本信息。

官方修复建议

OfBIZ已发布最新版本修复该漏洞，受影响用户可通过链接下载最新版本。https://ofbiz.apache.org/download.html

深信服解决方案

1.风险资产发现

支持对Apache-ofbiz的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：

【深信服主机安全检测响应平台CWPP】已发布资产检测方案，指纹ID:0004890。

【深信服云镜YJ】已发布资产检测方案，指纹ID:0004890。

---

2.漏洞主动扫描

支持对Apache OFBiz服务端请求伪造漏洞(CVE-2024-45507)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服云镜YJ】预计2024年09月12日发布检测方案，规则ID:SF-2024-00672。

【深信服漏洞评估工具TSS】预计2024年09月12日发布检测方案，规则ID:SF-2024-00672。

【深信服安全托管服务MSS】预计2024年09月12日发布检测方案（需要具备TSS组件能力），规则ID:SF-2024-00672。

【深信服安全检测与响应平台XDR】预计2024年09月12日发布检测方案（需要具备云镜组件能力），规则ID:SF-2024-00672。

参考链接

https://ofbiz.apache.org/security.html

https://github.com/apache/ofbiz-framework/commit/28f5f87ec9

https://issues.apache.org/jira/browse/OFBIZ-13132

时间轴

2024/9/5

深瞳漏洞实验室监测到Apache OFBiz服务端请求伪造漏洞信息。

2024/9/5

深瞳漏洞实验室发布漏洞通告。

点击阅读原文
，及时关注并登录深信服智安全平台
，可轻松查询漏洞相关解决方案。