Apache OFBiz披露新RCE漏洞，黑客可以接管ERP系统-低调大师

Apache OFBiz披露新RCE漏洞，黑客可以接管ERP系统

2021-03-23 591

近日，Apache修复了一个高危远程代码执行漏洞，该漏洞可能允许攻击者接管ERP系统。

1616470168_60596098997c08fd6e5e3.png!small

OFBiz是Apache下属的一个开源企业资源规划(ERP)系统开发框架，它提供了一套企业应用程序，将企业的许多业务流程集成并自动化。它提供广泛的功能，包括：会计、客户关系管理、生产运营管理、订单管理、供应链履行和仓库管理系统等等。

此次的漏洞被命名为CVE-2021-26295，影响17.12.06之前的所有软件版本，并采用 "不安全反序列化 "作为攻击向量，允许未经授权的远程攻击者直接在服务器上执行任意代码。

具体来说，通过这个漏洞，攻击者可以篡改序列化数据，以插入任意代码，当被反序列化后，可以进行远程代码执行。也就是说，未经认证的攻击者可以利用这个漏洞成功接管Apache OFBiz。

不安全的反序列化一直是数据完整性和其他安全问题的重要原因。专家指出格式错误的数据或者意外的数据很可能被用来滥用应用逻辑、拒绝服务或执行任意代码。

目前，用户可以通过更新至17.12.06版本来进行修复，同时做好资产自查以及预防工作，以避免漏洞被黑客利用从而造成损失。

参考：

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202103/651834.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

苹果开发人员再次被盯，针对Xcode的供应链攻击再现

网络安全研究人员近期披露了一种新的攻击手法，攻击者利用植入后门的 Xcode 作为攻击媒介攻击苹果平台的开发人员，可以发现从供应链入手攻击开发人员和研究人员的状况已经愈演愈烈。 Xcode 是 Apple 针对 macOS 的集成开发环境(IDE)，可用于为 macOS、iOS、iPadOS、watchOS 和 tvOS 开发软件。Xcode 允许开发人员在启动实例时运行自定义脚本，但控制台和调试器中没有该脚本执行的提示，因此缺乏经验的开发者会面临极大的风险。被植入后门的 Xcode 项目名为 XcodeSpy，是基于 GitHub 上名为 TabBarInteraction的开源项目进行后门植入后得到的，该项目可根据用户交互与 iOS 标签栏存在动画交互。 SentinelOne 的研究人员表示：“XcodeSpy 会在开发人员的 macOS 上安装定制化 EggShell 后门进行持久化”。SentinelOne 表示，一共发现了两个定制的 EggShell 后门，并且发现样本在 2020 年 8 月 5 日和 2020 年 10 月 13 日从日本上传到 VirusTotal。...

2021-03-23

572

在过去的几十年时间里，由于气候变化和降雨减少，农民越来越依靠地下水灌溉农作物。即使在干旱多发地区，农民仍然需要种植耗水量大的农作物，因为这类农作物的需求更稳定，带来的收入也更稳定。在2019年，作为“Call for Code”项目的一部分，一个 IBM 团队聚在一起，就他们热衷的想法进行了集思广益——由于干旱频发，如何才能帮助发展中国家的农民解决这一巨大的危机。最终该想法演变成了 Liquid Prep 项目，而该项目也是 Linux 基金会托管的最新项目。Liquid Prep 与安装在农场或花园里的水传感器硬件结合在一起，用于测量土壤的湿度水平。除此之外，他们还有一个"高度可视化且易于使用"的移动端应用，其监测的水分数据将与 IBM 旗下的气象公司(The Weather Company)和存放在 IBM 云端的农作物数据进行对接，以计算出含水量的时间变化表，帮助农民决定是否应该浇灌他们的农作物。简而言之，该项目主要包含三个组成部分：用于测量土壤湿度的硬件传感器; 高度可视化且易于使用的移动应用程序; 后端的数据服务为应用程序提供支持。虽然 Liquid Prep 项目...

2021-03-23

521

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。