OFBiz是基于Java的Web框架，包括实体引擎，服务引擎和基于小部件的UI。

近日，Apache OFBiz官方发布安全更新。Apache OFBiz 存在RMI反序列化前台命令执行，未经身份验证的攻击者可以使用此漏洞来成功接管Apache OFBiz，建议相关用户尽快测试漏洞修复的版本并及时升级。

CVE编号

CVE-2021-26295

FOFA查询

app="Apache_OFBiz"

影响范围

• Apache OFBiz < 17.12.06

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="Apache_OFBiz"）共有 878 个相关服务对外开放。中国大陆使用数量最多，共有 201 个；美国第二，共有 180 个；印度第三，共有 149 个；德国第四，共有 80 个；韩国第五，共有 40 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区浙江使用数量最多，共有 15 个；上海第二，共有 8 个；北京第三，共有 6 个，湖南第四，共有 6 个；广东第五，共有 4 个。

Vulfocus靶场环境 

目前 Vulfocus 已经集成 Apache OFBiz 环境，可通过以下命令进行拉取运行：

docker pull vulfocus/apache-ofbiz-cve_2021_26295:latest
docker run -d -P vulfocus/apache-ofbiz-cve_2021_26295

也可使用线上环境 http://vulfocus.fofa.so/ 进行测试。

修复方案

1. 可更新至Apache OFBiz最新版。

   下载地址：https://ofbiz.apache.org/download.html#vulnerabilities

2. 或者应用漏洞补丁。

   下载链接：https://github.com/apache/ofbiz-fr amework/commit/af9ed4e/

参考

[1] https://ofbiz.apache.org/download.html#vulnerabilities

[2] https://seclists.org/oss-sec/2021/q1/255

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。