服务公告
Apache OFBiz任意文件上传漏洞预警 (CVE-2021-37608)
2021-08-13
一、概要
近日，华为云关注到Apache OFBiz官方发布安全公告，披露在17.12.08之前的版本中存在任意文件上传漏洞（CVE-2021-37608），由于OFBiz图像管理模块（Image Management）对文件扩展名校验的不严谨导致远程攻击者通过发送特制的请求包，利用漏洞上传恶意脚本，进而实现在目标系统上执行任意代码。
Apache OFBiz是一个开源的企业资源计划（ERP）系统，华为云提醒使用Apache OFBiz的用户及时安排自检并做好安全加固。
参考链接：
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急）
三、漏洞影响范围
影响版本：
Apache OFBiz < 17.12.08
安全版本：
Apache OFBiz 17.12.08
四、漏洞处置
目前官方已在新版本中修复了该漏洞，请受影响的用户及时升级至安全版本：
下载地址：http://ofbiz.apache.org/download.html#vulnerabilities
或下载补丁进行修复：https://issues.apache.org/jira/browse/OFBIZ-12297
华为云WAF具备对该漏洞防御能力。华为云WAF用户将“Web基础防护”状态设置为“拦截”模式，具体方法请参见配置Web基础防护规则。
注：修复漏洞前请将资料备份，并进行充分测试。
