¡¾Îó²îͨ¸æ¡¿Apache Fineract·¾¶±éÀúÎó²î£¨CVE-2022-44635£©

Ðû²¼Ê±¼ä 2022-11-30


0x00 Îó²î¸ÅÊö

CVE   ID

CVE-2022-44635

·¢Ã÷ʱ¼ä

2022-11-30

Àà    ÐÍ

·¾¶±éÀú

µÈ    ¼¶

¸ßΣ

Ô¶³ÌʹÓÃ

ÊÇ

ËùÐèȨÏÞ

µÍ

¹¥»÷ÖØÆ¯ºó


Óû§½»»¥


PoC/EXP


ÔÚҰʹÓÃ


 

0x01 Îó²îÏêÇé

Apache FineractÊÇÓÃÓÚ½ðÈÚЧÀ͵ĿªÔ´Èí¼þ£¬£¬£¬£¬Ö¼ÔÚʵÏÖ½¹µãÒøÐÐϵͳƽ̨»¯½¨Éè¡£¡£¡£¡£ ¡£¡£¡£

11ÔÂ29ÈÕ£¬£¬£¬£¬ApacheÐû²¼Ç徲ͨ¸æ£¬£¬£¬£¬ÐÞ¸´ÁËApache FineractÖеÄÒ»¸ö·¾¶±éÀúÎó²î£¨CVE-2022-44635£©¡£¡£¡£¡£ ¡£¡£¡£

Apache FineractµÄÎļþÉÏ´«×é¼þÖб£´æÂ·¾¶±éÀúÎó²î£¬£¬£¬£¬¿ÉÄܵ¼Ö¾­ÓÉÉí·ÝÑéÖ¤µÄ¶ñÒâÓû§Ô¶³ÌÖ´ÐдúÂë¡£¡£¡£¡£ ¡£¡£¡£

 

Ó°Ïì¹æÄ£

Apache Fineract <= 1.8.0£¨·ÖÖ§²¹¶¡°æ±¾1.7.1²»ÊÜÓ°Ï죩

 

0x02 Çå¾²½¨Òé

ÏÖÔÚ¸ÃÎó²îÒѾ­ÐÞ¸´£¬£¬£¬£¬ÊÜÓ°ÏìµÄÓû§¿ÉÉý¼¶µ½Apache Fineract°æ±¾1.7.1 ¡¢1.8.1»ò¸ü¸ß°æ±¾¡£¡£¡£¡£ ¡£¡£¡£

ÏÂÔØÁ´½Ó£º

https://fineract.apache.org/

 

0x03 ²Î¿¼Á´½Ó

https://lists.apache.org/thread/t8q6fmh3o6yqmy69qtqxppk9yg9wfybg

https://cwiki.apache.org/confluence/display/FINERACT/Fineract+Project+Security+Report

 

0x04 °æ±¾ÐÅÏ¢

°æ±¾

ÈÕÆÚ

ÐÞ¸ÄÄÚÈÝ

V1.0

2022-11-30

Ê×´ÎÐû²¼

 

 

0x05 ¸½Â¼

¼øºÚµ£±£Íø¼ò½é

¼øºÚµ£±£Íø½¨ÉèÓÚ1996Ä꣬£¬£¬£¬ÊÇÓÉÁôÃÀ²©Ê¿ÑÏÍû¼ÑŮʿ½¨ÉèµÄ¡¢ÓµÓÐÍêÈ«×ÔÖ÷֪ʶ²úȨµÄÐÅÏ¢Çå¾²¸ß¿Æ¼¼ÆóÒµ¡£¡£¡£¡£ ¡£¡£¡£ÊǺ£ÄÚ×î¾ßʵÁ¦µÄÐÅÏ¢Çå¾²²úÆ·¡¢Ç徲ЧÀͽâ¾ö¼Æ»®µÄÁ캽ÆóÒµÖ®Ò»¡£¡£¡£¡£ ¡£¡£¡£

¹«Ë¾×ܲ¿Î»ÓÚ±±¾©ÊÐÖйشåÈí¼þÔ°¼øºÚµ£±£Íø´óÏ㬣¬£¬£¬¹«Ë¾Ô±¹¤6000ÓàÈË£¬£¬£¬£¬Ñз¢ÍŶÓ1200ÓàÈË, ÊÖÒÕЧÀÍÍŶÓ1300ÓàÈË¡£¡£¡£¡£ ¡£¡£¡£ÔÚÌìϸ÷Ê¡¡¢ÊС¢×ÔÖÎÇøÉèÁ¢·ÖÖ§»ú¹¹ÁùÊ®¶à¸ö£¬£¬£¬£¬ÓµÓÐÁýÕÖÌìϵÄÏúÊÛϵͳ¡¢ÇþµÀϵͳºÍÊÖÒÕÖ§³Öϵͳ¡£¡£¡£¡£ ¡£¡£¡£¹«Ë¾ÓÚ2010Äê6ÔÂ23ÈÕÔÚÉîÛÚÖÐС°å¹ÒÅÆÉÏÊС£¡£¡£¡£ ¡£¡£¡££¨¹ÉƱ´úÂ룺002439£©

¶àÄêÀ´£¬£¬£¬£¬¼øºÚµ£±£ÍøÖÂÁ¦ÓÚÌṩ¾ßÓйú¼Ê¾ºÕùÁ¦µÄ×ÔÖ÷Á¢ÒìµÄÇå¾²²úÆ·ºÍ×î¼Ñʵ¼ùЧÀÍ£¬£¬£¬£¬×ÊÖú¿Í»§ÖÜÈ«ÌáÉýÆäIT»ù´¡ÉèÊ©µÄÇå¾²ÐÔºÍÉú²úЧÄÜ£¬£¬£¬£¬Îª´òÔìºÍÌáÉý¹ú¼Ê»¯µÄÃñ×åÐÅÏ¢Çå¾²¹¤ÒµÁì¾üÆ·ÅÆ¶ø²»Ð¸Æð¾¢¡£¡£¡£¡£ ¡£¡£¡£

 

¹ØÓÚ¼øºÚµ£±£Íø

¼øºÚµ£±£ÍøÇå¾²Ó¦¼±ÏìÓ¦ÖÐÐÄÖ÷ÒªÕë¶ÔÖ÷ÒªÇå¾²Îó²îµÄÔ¤¾¯¡¢¸ú×ٺͷÖÏíÈ«Çò×îеÄÍþвÇ鱨ºÍÇå¾²±¨¸æ¡£¡£¡£¡£ ¡£¡£¡£

¹Ø×¢ÒÔϹ«Öںţ¬£¬£¬£¬»ñȡȫÇò×îÐÂÇå¾²×ÊѶ£º

image.png