企业网站营销策划,衡水企业做网站费用,建设网站北京,怎么做资源类网站【严重】Apache OFBiz Scrum 组件命令注入漏洞
漏洞描述
Apache OFBiz 是一款知名的开源企业资源规划(ERP)解决方案#xff0c;它提供了一整套开箱即用的企业级应用。Scrum 是 OFBiz 的一个插件#xff0c;旨在为敏捷开发团队提供项目管理功能#xff0c;其中包括与 SVN 版…【严重】Apache OFBiz Scrum 组件命令注入漏洞
漏洞描述
Apache OFBiz 是一款知名的开源企业资源规划(ERP)解决方案它提供了一整套开箱即用的企业级应用。Scrum 是 OFBiz 的一个插件旨在为敏捷开发团队提供项目管理功能其中包括与 SVN 版本控制系统的集成。 受影响版本中Scrum 插件内的 ScrumServices.java 文件在实现与 SVN 版本库交互的功能时将外部传入的 repository 和 revision 参数直接拼接到命令字符串中并调用 Runtime.getRuntime().exec(String command) 来执行拥有Scrum模块权限的攻击者可以利用该漏洞实现任意命令执行。 修复版本通过双重机制防止命令注入一是使用 UtilValidate.isValidUrl() 和 UtilValidate.isInteger() 对传入的参数进行严格的格式校验过滤输入二是将命令执行方式改为参数分离的 exec(String, String[])避免参数被 shell当作命令解析执行。
MPS编号MPS-05dp-t2bwCVE编号CVE-2025-54466处置建议建议修复发现时间2025-08-05利用成本中利用可能性中是否有POC否
影响范围
影响组件受影响的版本最小修复版本ofbiz(-∞, 24.09.02)24.09.02
参考链接
https://www.oscs1024.com/hd/MPS-05dp-t2bw
https://issues.apache.org/jira/secure/attachment/13077706/OFBIZ-13276.patch
https://issues.apache.org/jira/browse/OFBIZ-13276
排查方式
手动排查
检查OFBiz版本执行./gradlew -version或查看版本文件确认是否24.09.02检查Scrum插件查看plugins/目录是否存在scrum文件夹审查ScrumServices.java检查repository参数是否经UtilValidate.isValidUrl()校验、revision是否为整数及命令执行是否使用exec(String, String[])。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞投毒风险服务可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址https://www.murphysec.com/adv?code73M6
提交漏洞情报https://www.murphysec.com/bounty
处置方式
应急缓解方案
立即限制Scrum模块访问权限仅授权必要管理员使用如非业务必需暂时停用Scrum插件的SVN集成功能在网络层面对OFBiz服务器实施访问控制限制来源IP启用应用层审计日志重点监控Scrum模块相关操作通过WAF配置规则过滤包含特殊字符的请求参数
根本修复方案
升级Apache OFBiz至24.09.02或更高安全版本若无法立即升级应用官方安全补丁OFBIZ-13276实施参数验证机制对repository参数执行URL格式校验对revision参数执行整数校验采用参数分离模式重构命令执行逻辑使用exec(String[] cmdarray)替代字符串拼接方式升级完成后执行安全测试验证修复效果
