近日，Apache修復(fù)了一個(gè)高危遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞可能允許攻擊者接管ERP系統(tǒng)。

OFBiz是Apache下屬的一個(gè)開源企業(yè)資源規(guī)劃(ERP)系統(tǒng)開發(fā)框架，它提供了一套企業(yè)應(yīng)用程序，將企業(yè)的許多業(yè)務(wù)流程集成并自動(dòng)化。它提供廣泛的功能，包括：會(huì)計(jì)、客戶關(guān)系管理、生產(chǎn)運(yùn)營(yíng)管理、訂單管理、供應(yīng)鏈履行和倉(cāng)庫(kù)管理系統(tǒng)等等。

此次的漏洞被命名為CVE-2021-26295，影響17.12.06之前的所有軟件版本，并采用 "不安全反序列化 "作為攻擊向量，允許未經(jīng)授權(quán)的遠(yuǎn)程攻擊者直接在服務(wù)器上執(zhí)行任意代碼。

具體來(lái)說(shuō)，通過(guò)這個(gè)漏洞，攻擊者可以篡改序列化數(shù)據(jù)，以插入任意代碼，當(dāng)被反序列化后，可以進(jìn)行遠(yuǎn)程代碼執(zhí)行。也就是說(shuō)，未經(jīng)認(rèn)證的攻擊者可以利用這個(gè)漏洞成功接管Apache OFBiz。

不安全的反序列化一直是數(shù)據(jù)完整性和其他安全問(wèn)題的重要原因。專家指出格式錯(cuò)誤的數(shù)據(jù)或者意外的數(shù)據(jù)很可能被用來(lái)濫用應(yīng)用邏輯、拒絕服務(wù)或執(zhí)行任意代碼。

目前，用戶可以通過(guò)更新至17.12.06版本來(lái)進(jìn)行修復(fù)，同時(shí)做好資產(chǎn)自查以及預(yù)防工作，以避免漏洞被黑客利用從而造成損失。

參考：

securityaffairs thehackernews

原文地址：https://www.freebuf.com/news/267162.html

新聞標(biāo)題：ApacheOFBiz披露新RCE漏洞，黑客可以接管ERP系統(tǒng)
本文來(lái)源：http://www.rwnh.cn/news12/204412.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供用戶體驗(yàn)、響應(yīng)式網(wǎng)站、網(wǎng)站建設(shè)、ChatGPT、移動(dòng)網(wǎng)站建設(shè)、微信小程序

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)