Openfire 驗證繞過 (CVE-2023-32315)
high Nessus Plugin ID 178030
語系：
概要
遠端主機包含一個受到驗證繞過弱點影響的應用程式。說明
遠端主機執行的 Openfire 版本受到驗證繞過弱點影響。Openfire 是獲取 Open Source Apache License 授權的 XMPP 伺服器。據發現，Openfire 的管理主控台 (一種 Web 型應用程式) 容易受到透過設定環境發動的路徑遊走攻擊。利用此弱點，未經驗證的使用者可以在已設定的 Openfire 環境中使用未經驗證的 Openfire 設定環境，以存取 Openfire 管理主控台中為管理使用者保留的受限頁面。此弱點會影響自 2015 年 4 月發布的 3.10.0 版本以來的所有 Openfire 版本。此問題已在 Openfire 版本 4.7.5 和 4.6.8 中修補，進一步的改善將包含在 4.8 分支上尚未發布的第一個版本中 (預期版本為 4.8.0)。建議所有使用者進行升級。如果 Openfire 升級不適用於特定版本，或無法快速執行，使用者可參閱連結的 github 公告 (GHSA-gw42-f939-fhvm) 以取得減輕受害程度的建議。
解決方案
升級版本至 4.6.8、4.7.5、4.8.0 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 178030
檔案名稱: openfire_CVE-2023-32315.nbin
版本: 1.15
類型: remote
系列: CGI abuses
已發布: 2023/7/7
已更新: 2024/4/23
支援的感應器: Nessus
風險資訊
VPR
風險因素: High
分數: 7.2
CVSS v2
風險因素: High
基本分數: 7.8
時間分數: 6.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2023-32315
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 7.2
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:H/RL:O/RC:C
弱點資訊
CPE: cpe:/a:igniterealtime:openfire
必要的 KB 項目: installed_sw/Openfire Console
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2023/5/23
弱點發布日期: 2023/5/23
CISA 已知遭惡意利用弱點到期日: 2023/9/14
可惡意利用
Metasploit (Openfire authentication bypass with RCE plugin)
參考資訊
CVE: CVE-2023-32315
IAVB: 2023-B-0043