Apache 已修复其开源 OFBiz 软件中的一个严重漏洞（CVE-2024-45195），该漏洞可能允许攻击者在易受攻击的 Linux 和 Windows 服务器上执行任意代码。OFBiz 是一套用于客户关系管理（CRM）和企业资源规划（ERP）的业务应用程序，也可作为基于 Java 的 Web 框架。
漏洞详情
此远程代码执行漏洞由 Rapid7 安全研究人员发现，起因于强制浏览漏洞，使未经身份验证的攻击者能够直接访问受限路径。研究员 Ryan Emmons 指出，攻击者可以利用该漏洞绕过凭证验证，并在服务器上执行任意代码。
Apache 已在版本 18.12.16 通过添加授权检查修补了该漏洞。OFBiz 用户被强烈建议尽快升级，以防止潜在攻击。
绕过之前的安全补丁
CVE-2024-45195 被认为是绕过了今年早些时候修复的其他三个漏洞（CVE-2024-32113、CVE-2024-36104 和 CVE-2024-38856）。这些漏洞都有相似的根本原因，即控制器视图映射问题，允许攻击者在没有身份验证的情况下执行代码或 SQL 查询，实现远程代码执行。
CISA 警告与持续威胁
美国网络安全和基础设施安全局（CISA）曾在 8 月警告，CVE-2024-32113 OFBiz 漏洞已被用于攻击。该漏洞已被添加到 CISA 的漏洞目录中，要求联邦机构在三周内修补。尽管这一要求仅适用于联邦民事行政部门，CISA 强烈建议所有组织尽快修补这些漏洞，防止网络攻击。
此外，2023 年 12 月，攻击者开始利用另一个 OFBiz 预身份验证远程代码执行漏洞（CVE-2023-49070），使用公共概念验证代码来查找易受攻击的 Confluence 服务器。
