Apache OFBiz任意文件上傳漏洞（CVE-2021-37608）預警

一、漏洞情況

近日，Apache官方發布Apache OFBiz任意文件上傳漏洞的風險通告，該漏洞CVE編號：CVE-2021-37608。攻擊者可利用該漏洞上傳任意文件，實現遠程代碼執行。目前官方已修復該漏洞，建議受影響用戶及時更新至安全版本進行防護，并做好資產自查以及預防工作，以免遭受黑客攻擊。

二、漏洞等級

高危

三、漏洞描述

Apache OFBiz是美國阿帕奇（Apache）基金會的一套企業資源計劃（ERP）系統，提供了一整套基于Java的Web應用程序組件和工具。

該漏洞源于Apache OFBiz 17.12.08之前版本存在不安全的反序列化，攻擊者可利用該漏洞上傳任意文件，實現遠程代碼執行。

四、影響范圍

Apache OFBiz < 17.12.08

五、安全建議

建議受影響用戶盡快將Apache OFBiz升級至17.12.08或更高版本。

下載鏈接：

http://ofbiz.apache.org/download.html#vulnerabilities

六、參考鏈接

• http://mail-archives.apache.org/mod_mbox/www-announce/202108.mbox/%3C40716d3e-150d-10d6-ee27-aca4ae0480fb@apache.org%3E
• https://issues.apache.org/jira/browse/OFBIZ-12297