KnowSafe 安全预警：Apache OFBiz RMI反序列化任意代码执行漏洞（CVE-2021-26295）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-26295 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。2021年3月22日 Apache OFBiz官方发布安全更新，修复了一处由RMI反序列化造成的远程代码执行漏洞（CVE-2021-26295）。攻击者可构造恶意请求，触发反序列化，从而造成任意代码执行，控制服务器。KnowSafe应急响应中心提醒 Apache OFBiz 用户尽快采取安全措施阻止漏洞攻击。

影响范围

应用：apache ofbiz（影响面 Up to (excluding) 17.12.06）

解决方案

升级 Apache OFBiz 至安全版本。

参考信息

http://help.aliyun.com/noticelist/articleid/1060820181.html

http://packetstormsecurity.com/files/162104/Apache-OFBiz-SOAP-Java-Deserialization.html

https://lists.apache.org/thread.html/r078351a876ed284ba667b33aba29428d7308a5bd4df78f14a3df6661%40%3Cnotifications.ofbiz.apache.org%3E

https://lists.apache.org/thread.html/r0d97a3b7a14777b9e9e085b483629d2774343c4723236d1c73f43ff0%40%3Cdev.ofbiz.apache.org%3E

https://lists.apache.org/thread.html/r108a964764b8bd21ebd32ccd4f51c183ee80a251c105b849154a8e9d%40%3Ccommits.ofbiz.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。