漏洞描述:
Apache OFBiz 是一个开源的企业资源计划系统。Apache XML-RPC 是 XML-RPC 的 Java 实现,XML-RPC 是一种使用 XML over HTTP 来实现远程过程调用的协议。 由于OFBiz使用了有反序列化漏洞且不再维护的的XML-RPC(CVE-2019-17570),攻击者可以通过请求/webtools/control/xmlrpc;/?USERNAME=&PASSWORD=s&requirePasswordChange=Y绕过针对/control/xmlrpc的接口过滤限制(CVE-2020-9496),从而使用 Apache XMLRPC 客户端库的应用程序权限执行任意代码。 在修复版本中,Apache OFBiz移除了XML-RPC的相关代码。