Apache OFBiz up to 12.04.05/13.07.02 Java Object 输入验证漏洞

CVE编号

CVE-2016-2170

利用情况

暂无

补丁情况

N/A

披露时间

2016-04-13

漏洞描述

Apache OFBiz（也称Apache Open For Business Project）是美国阿帕奇（Apache）软件基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。
Apache OFBiz存在安全绕过漏洞，该漏洞源于程序未能正确处理序列化的对象。攻击者可利用该漏洞执行任意受限制的Java代码。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
http://ofbiz.apache.org/release-notes-12.04.06.html

参考链接
http://ofbiz.apache.org/download.html#vulnerabilities
http://packetstormsecurity.com/files/136639/Apache-OFBiz-13.07.02-13.07.01-In...
http://www.securityfocus.com/archive/1/538034/100/0/threaded
http://www.securitytracker.com/id/1035513
https://blogs.apache.org/ofbiz/entry/announce_apache_ofbiz_12_04
https://blogs.apache.org/ofbiz/entry/announce_apache_ofbiz_13_07
https://cwiki.apache.org/confluence/display/OFBIZ/The+infamous+Java+serializa...
https://issues.apache.org/jira/browse/OFBIZ-6726
https://lists.apache.org/thread.html/r078351a876ed284ba667b33aba29428d7308a5b...
https://lists.apache.org/thread.html/r0d97a3b7a14777b9e9e085b483629d2774343c4...
https://lists.apache.org/thread.html/r3ee005dd767cd83f522719423f5e7dd316f168d...
https://lists.apache.org/thread.html/rab718cfe6468085d7560c0c1ae816841e175886...
https://lists.apache.org/thread.html/rbe512e5ccd6b11169c6379daa1234bc805f3d53...
https://lists.apache.org/thread.html/rc9bd0d3d794dc370bc70585960841868cb29b92...
https://lists.apache.org/thread.html/rec5e9fdcdca13099cfb29f632333f44ad1dd60d...
https://lists.apache.org/thread.html/reccf8c8a58337ce7c035495d3d82fbc549e9703...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	ofbiz	12.04.01	-
	运行在以下环境
	应用	apache	ofbiz	12.04.02	-
	运行在以下环境
	应用	apache	ofbiz	12.04.03	-
	运行在以下环境
	应用	apache	ofbiz	12.04.04	-
	运行在以下环境
	应用	apache	ofbiz	12.04.05	-
	运行在以下环境
	应用	apache	ofbiz	13.07.01	-
	运行在以下环境
	应用	apache	ofbiz	13.07.02	-

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-20 输入验证不恰当