CVE-2023-32315
Omisiónde autenticación en la consola de administración de Openfire
- Publicado
- 26 may 2023
- Actualizado
- 21 oct 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 24 ago 2023
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:LAlto · próximos 30 días
- Percentil
- 100,0 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Openfire es un servidor XMPP con licencia Apache de código abierto. Se descubrió que la consola administrativa de Openfire, una aplicación basada en web, era vulnerable a un ataque de path traversal a través del entorno de instalación. Esto permitía que un usuario no autenticado utilizara el Entorno de Instalación de Openfire no autenticado en un entorno de Openfire ya configurado para acceder a páginas restringidas de la Consola de Administración de Openfire reservadas para usuarios administradores. Esta vulnerabilidad afecta a todas las versiones de Openfire publicadas desde abril de 2015, a partir de la versión 3.10.0. El problema se ha corregido en las versiones 4.7.5 y 4.6.8 de Openfire, y se incluirán mejoras adicionales en la primera versión aún no publicada de la rama 4.8 (que se espera que sea la versión 4.8.0). Se recomienda a los usuarios actualizar. Si no hay una actualización de Openfire disponible para una versión específica, o no se puede aplicar rápidamente, los usuarios pueden consultar el aviso de GitHub enlazado (GHSA-gw42-f939-fhvm) para obtener recomendaciones de mitigación.
Fuentes
openfire/CVE-2023-32315
Openfire Admin Console Authentication Bypass (CVE-2023-32315)
Vulhub vulnerability labsCondiciones declaradas
- lab image version: vulhub/openfire:4.7.4(openfire/CVE-2023-32315/docker-compose.yml:services.web.image)
modules/exploits/multi/http/openfire_auth_bypass_rce_cve_2023_32315.rb
Metasploit Framework modulesCondiciones declaradas
- platform: Java($.exploit_multi/http/openfire_auth_bypass_rce_cve_2023_32315.platform)
- verification: check_declared($.exploit_multi/http/openfire_auth_bypass_rce_cve_2023_32315.check)
http/cves/2023/CVE-2023-32315.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.