Apache-OFBiz-Auth-Bypass-and-RCE-Exploit-CVE-2023-49070-CVE-2023-51467

Apache-OFBiz-Auth-Bypass-and-RCE-Exploit-CVE-2023-49070-CVE-2023-51467

Apache OFBiz 是一个开源的企业资源规划系统。它提供了一套企业应用程序，可集成并自动化企业中的许多业务流程。

CVE-2023-49070 是 Apache OFBiz 18.12.09 中发现的预认证远程代码执行（RCE）漏洞。该问题源于系统中存在 XML-RPC，该组件虽已不再维护但仍保留在系统中。

CVE-2023-51467 允许攻击者绕过身份验证流程，从而远程执行任意代码。

受影响版本： 18.12.10 及以下

该漏洞利用工具会扫描所提供的目标是否存在漏洞，并根据用户的选择对该目标进行利用。

使用方法： python3 exploit.py https://localhost:8443/

参考链接： https://www.prio-n.com/blog/cve-2023-49070-51467-attacking-defending-Apache-OFBiz

注意： 你需要在漏洞利用脚本所在的同一目录下放置 ysoserial-all.jar 文件。你可以从本仓库下载，也可以从 https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jar 下载。

如果序列化未发生，或因某些原因漏洞利用未成功，请按照以下步骤降级你的 Java 版本，然后重试。

update-java-alternatives --list

sudo update-java-alternatives --set /usr/lib/jvm/java-1.11.0-openjdk-amd64

sudo update-java-alternatives --set <Any_lower_compatible_version>

免责声明： 此漏洞利用工具仅可用于教育和授权测试目的。禁止非法/未经授权使用此漏洞利用工具。