jakabakos/apache-ofbiz-authentication-bypassЭтот репозиторий представляет собой PoC для эксплуатации уязвимостей CVE-2023-51467 и CVE-2023-49070 — RCE-уязвимостей без предварительной аутентификации, обнаруженных в Apache OFBiz.
Этот скрипт эксплойта и PoC написаны для углубленного анализа CVE на vsociety.
Система планирования ресурсов предприятия (ERP) Apache OFBiz, универсальный веб-фреймворк на Java, широко используемый в различных отраслях, сталкивается с серьезной проблемой безопасности. Обнаружение исследовательской группы SonicWall Threat, выявившее CVE-2023-51467, критическую уязвимость обхода аутентификации с оценкой CVSS 9.8, показало тревожный риск для целостности системы. Эта уязвимость не только подвергает ERP-систему потенциальной эксплуатации, но и открывает путь к атаке типа Server-Side Request Forgery (SSRF), представляя двойную угрозу для организаций, использующих Apache OFBiz.
Репозиторий также содержит выпуск ysoserial, используемый для генерации сериализованных данных.
Запустите скрипт в режиме сканера:
python3 exploit.py --url https://localhost:8443
Выполните команду на удаленном сервере:
python3 exploit.py --url https://localhost:8443 --cmd 'CMD'
Данный скрипт эксплойта создан исключительно для исследований и разработки эффективных методов защиты. Он не предназначен для использования в каких-либо вредоносных или несанкционированных действиях. Автор и владелец скрипта снимают с себя всякую ответственность за любое неправомерное использование или ущерб, причиненный данным программным обеспечением. Пользователям настоятельно рекомендуется использовать это программное обеспечение ответственно и только в соответствии с действующими законами и нормативными актами. Используйте ответственно.