PT-2021-2832 · Apache · Apache Ofbiz

Asd + 2 · Publicado 2021-04-27 · Atualizado 2024-01-02 · CVE-2021-29200

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Apache OFBiz anteriores à 17.12.07

Descrição:

O problema está relacionado a uma deserialização insegura, permitindo que um invasor execute código arbitrário ao enviar uma solicitação especialmente criada. Isso pode ser explorado por um usuário não autenticado para realizar um ataque de execução remota de código (RCE).

Recomendações:

Para versões anteriores à 17.12.07, atualize para a versão 17.12.07 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de deserialização até que um patch seja aplicado.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2021-02378

CVE-2021-29200

Produtos afetados

Apache Ofbiz

Referências · 23

• 🔥❌ https://github.com/r0ckysec/CVE-2021-29200 · Exploit, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2021-29200 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29200 · Aviso do Fabricante
• https://lists.apache.org/thread.html/rbe8439b26a71fc3b429aa793c65dcc4a6e349bc7bb5010746a74fa1d%40%3Ccommits.ofbiz.apache.org%3E · Nota
• https://cybersecurity-help.cz/vdb/SB2021042814 · Nota
• https://lists.apache.org/thread.html/r108a964764b8bd21ebd32ccd4f51c183ee80a251c105b849154a8e9d@%3Ccommits.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/rb3f5cd65f3ddce9b9eb4d6ea6e2919933f0f89b15953769d11003743@%3Cuser.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/rb3f5cd65f3ddce9b9eb4d6ea6e2919933f0f89b15953769d11003743@%3Cannounce.apache.org%3E · Nota
• https://lists.apache.org/thread.html/r708351f1a8af7adb887cc3d8a92bed8fcbff4a9e495e69a9ee546fda%40%3Cnotifications.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/re21d25d9fb89e36cea910633779c23f144b9b60596b113b7bf1e8097%40%3Cdev.ofbiz.apache.org%3E · Aviso do Fabricante
• https://t.me/cvenotify/14194 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2021-02378 · Nota de Segurança
• http://openwall.com/lists/oss-security/2021/04/27/5 · Nota
• https://t.me/cybersecuritytechnologies/3348 · Publicação no Telegram
• https://lists.apache.org/thread.html/re21d25d9fb89e36cea910633779c23f144b9b60596b113b7bf1e8097%40%3Cannounce.apache.org%3E · Nota