CVE-2018-17200
Açıklama
Apache OFBiz HTTP motoru (org.apache.ofbiz.service.engine.HttpEngine.java), /webtools/control/httpService uç noktası üzerinden HTTP servisleri için gelen istekleri işler. Bu servis, istekteki `serviceContent` parametresini alır ve bunu XStream kullanarak serileştirmeden çıkarır (deserialize eder). Bu `XStream` örneği, `ProcessBuilder` oluşturulmasının devre dışı bırakılmasıyla hafifçe korunmuştur. Ancak bu durum kolayca (ve birden fazla yolla) atlatılabilir. Çözüm: 16.11.06 sürümüne yükseltin veya 16 dalındaki şu commit'leri manuel olarak uygulayın: r1850017+1850019
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache ofbiz | 16.11.01 ≤ v ≤ 16.11.05 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.