KnowSafe 安全预警：Apache OFBiz 反序列化任意代码执行漏洞（CVE-2021-30128）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-30128 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。

2021年4月2日，KnowSafe安全向Apache官方报告了CVE-2021-30128 Apache OFBiz反序列化漏洞，4月28日 Apache OFBiz官方发布安全更新并公开致谢KnowSafe安全，修复包括CVE-2021-29200、CVE-2021-30128在内等多个高危漏洞。攻击者可构造恶意请求，触发反序列化，从而造成任意代码执行，控制服务器。KnowSafe应急响应中心提醒 Apache OFBiz 用户尽快采取安全措施阻止漏洞攻击。

影响范围

应用：apache ofbiz（影响面 Up to (excluding) 17.12.07）

解决方案

升级 Apache OFBiz 至安全版本。

参考信息

http://www.openwall.com/lists/oss-security/2021/04/27/5

https://avd.aliyun.com/detail/AVD-2021-30128

https://help.aliyun.com/noticelist/articleid/1060840016.html

https://lists.apache.org/thread.html/r078351a876ed284ba667b33aba29428d7308a5bd4df78f14a3df6661%40%3Cnotifications.ofbiz.apache.org%3E

https://lists.apache.org/thread.html/r078351a876ed284ba667b33aba29428d7308a5bd4df78f14a3df6661@%3Cnotifications.ofbiz.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。