一、漏洞概要

漏洞名称	Apache OFBiz 代码执行漏洞(CVE-2024-38856)
发布时间	2024年8月20日
组件名称	Apache-ofbiz
影响范围	Apache OFBiz < 18.12.15
漏洞类型	远程代码执行
利用条件	1、用户认证：不需要用户认证 2、前置条件：默认配置 3、触发方式：远程
综合评价	<综合评定利用难度>：容易，能造成远程代码执行。 <综合评定威胁等级>：高危，能造成远程代码执行。
官方解决方案	已发布

二、漏洞分析

Apache OFBiz是一套足够灵活的业务应用程序，可以在任何行业中使用。通用架构允许开发人员轻松扩展或增强它以创建自定义功能。

2024年8月20日，深瞳漏洞实验室监测到一则Apache-ofbiz组件存在代码执行漏洞的信息，漏洞编号：CVE-2024-38856，漏洞威胁等级：高危。

官方发布新版本修复了CVE-2024-38856 Apache OFBiz 代码执行漏洞，攻击者可构造恶意请求执行任意代码，控制服务器。

目前受影响的Apache-ofbiz版本：

Apache OFBiz < 18.12.15

官方修复建议

官方已发布最新版本修复该漏洞，建议受影响用户将Ofbiz升级到最新版本。