2026 年 5 月 21 日，国家信息安全漏洞共享平台（CNVD）连续收录了 Apache OFBiz 的三个安全漏洞，涉及 服务端请求伪造（SSRF）、输入验证不当 等多种风险。攻击者可利用这些漏洞绕过访问控制、探测内网、窃取敏感信息。受影响版本为 Apache OFBiz < 24.09.06。官方已发布修复版本，在无法立即升级的情况下，部署 百度云防护 WAF 可通过网络层拦截恶意请求，提供虚拟补丁级的即时保护。
一、 漏洞核心信息一览
| CNVD 编号 | CVE 编号 | 危害级别 | 漏洞类型 | 影响版本 |
|---|---|---|---|---|
| CNVD-2026-21174 | CVE-2026-29226 | 高 | SSRF（服务端请求伪造） | Apache OFBiz < 24.09.06 |
| CNVD-2026-21175 | CVE-2026-31378 | 中 | 输入验证不当 | Apache OFBiz < 24.09.06 |
| CNVD-2026-21176 | CVE-2026-31379 | 中 | 输入验证不当（多个） | Apache OFBiz < 24.09.06 |
Apache OFBiz 是一套开源的企业资源计划（ERP）系统，广泛用于制造业、电商、供应链等领域。此次漏洞影响所有 24.09.06 之前版本，建议用户立即升级。
二、 漏洞详解
2.1 CVE-2026-29226（CNVD-2026-21174）：Content 组件 SSRF 漏洞（高危）
- 漏洞位置：OFBiz 的 Content 组件。
- 原理：该组件在处理用户请求时，未对用户可控的 URL 参数进行充分校验，导致攻击者可利用该接口发起 服务端请求伪造（SSRF） 攻击。
- 攻击效果：攻击者可让 OFBiz 服务器向内网任意 IP/端口发起请求，实现：
- 探测内网存活主机和开放端口（扫描攻击）
- 访问云元数据接口（如
169.254.169.254），窃取云服务临时凭证 - 攻击内网其他脆弱服务（如 Redis、Memcached、未授权数据库）
- CVSS 向量：
AV:N/AC:L/Au:N/C:P/I:P/A:P（网络可利用、低复杂度、无需认证）
2.2 CVE-2026-31378（CNVD-2026-21175）：输入验证不当漏洞（中危）
- 漏洞类型：输入验证不足（Improper Input Validation）。
- 原理：OFBiz 的某些输入点未对用户提交的数据进行严格类型或格式检查，导致攻击者可提交恶意构造的数据，影响系统行为。
- 攻击效果：具体细节未公开，但官方评定为可影响 机密性和完整性（C:P / I:P），可能导致：
- 绕过业务逻辑限制
- 篡改订单、用户资料等数据
- 执行非授权的操作
2.3 CVE-2026-31379（CNVD-2026-21176）：多个输入验证不当漏洞（中危）
- 漏洞类型：输入验证不当（多个实例）。
- 原理：与上一个类似，但由于涉及多个独立缺陷，官方单独编号。
- 攻击效果：同样可导致数据篡改、权限绕过等后果。
三、 影响范围与官方补丁
- 受影响版本：Apache OFBiz 所有低于 24.09.06 的版本（包括 18.12.x、22.01.x 等系列）。
- 安全版本：Apache OFBiz 24.09.06 及以上。
- 官方补丁链接：
- CVE-2026-29226 公告
- CVE-2026-31378 公告
- CVE-2026-31379 公告
升级命令（以源码部署为例）：
git clone https://github.com/apache/ofbiz-framework.git
cd ofbiz-framework
git checkout tags/24.09.06
./gradlew cleanAll loadAll四、 漏洞危害总结
| 漏洞 | 攻击者能做什么 |
|---|---|
| SSRF（CVE-2026-29226） | 探测内网、窃取云凭证、攻击内部系统，可能导致进一步 RCE |
| 输入验证不当（CVE-2026-31378） | 篡改业务数据、绕过审批流程、越权操作 |
| 多个输入验证缺陷（CVE-2026-31379） | 同上，攻击面更广 |
对于部署在公网的 OFBiz 系统，攻击者可利用 SSRF 漏洞向内网横向渗透，或将数据回传至外部 C2 服务器。
五、 为什么推荐百度云防护 WAF 作为临时防御？
5.1 WAF 的虚拟补丁能力
在无法立即升级 OFBiz 版本的空窗期，百度云防护 WAF 可以：
- 拦截 SSRF 攻击：检测请求参数中的内网 IP 地址（
127.0.0.1、10.0.0.0/8、192.168.0.0/16等）、云元数据地址（169.254.169.254）以及特殊协议（gopher://、file://）。 - 阻断恶意输入：针对已知的输入验证漏洞特征，WAF 内置规则可识别并拦截恶意载荷（如特定参数名、值的异常模式）。
- 实时更新：百度安全团队可在漏洞公开后 24 小时内 推送新规则，用户无需任何操作即可获得保护。
5.2 配合 JA4 指纹 + IP 情报库
攻击者常使用自动化工具扫描 SSRF 漏洞，其 JA4 指纹固定。百度云防护支持 JA4 指纹匹配，可精准锁定扫描器，即使换 IP 也无处遁形。同时，IP 情报库 自动封杀代理 IP、云服务 IP，从源头减少 90% 扫描流量。
5.3 套餐计费，成本可控
百度云防护采用 套餐计费，专业版几百元/月，HTTPS 请求免费，被攻击不会产生天价后付费账单，适合企业长期部署。
六、 企业行动指南
| 优先级 | 措施 | 说明 |
|---|---|---|
| 紧急 | 部署百度云防护 WAF | 立即获得虚拟补丁，阻断 SSRF 和输入验证攻击 |
| 高 | 升级 OFBiz 至 24.09.06 或更高版本 | 从根源修复所有已知漏洞 |
| 中 | 限制 OFBiz 管理后台公网暴露 | 使用 VPN 或 IP 白名单限制访问 |
| 低 | 审计历史日志 | 排查是否有异常请求（如内网 IP 探测、云元数据访问） |
七、 总结
Apache OFBiz 此次爆出的三个漏洞（尤其 SSRF 高危漏洞）将大量 ERP 系统置于风险之中。攻击者可借此穿透网络边界，窃取云凭证、攻击内网。立即升级到 24.09.06 是最彻底的解决方案；若无法停服升级，请务必部署 百度云防护 WAF，利用其虚拟补丁能力在网络层拦截恶意请求，为系统争取安全的修复窗口。
如果你正在使用 Apache OFBiz 或不确定自己的系统是否受攻击，欢迎联系 主机吧 获取免费安全评估和百度云防护接入指导。
主机吧 | 百度云防护官方合作伙伴
提供 WAF 接入、高防 CDN、高防 IP、高防服务器、SSL 证书一站式服务
让 SSRF 和输入验证攻击无处遁形，让每一个 ERP 系统都固若金汤。
