Apache Shiro權限繞過漏洞安全風險通告
發(fā)布日期：2020-08-24
?
漏洞描述
2020年08月18日， 360CERT監(jiān)測發(fā)現(xiàn) Apache Shiro 發(fā)布了 Apahce Shiro 權限繞過 的風險通告，該漏洞編號為 CVE-2020-13933，漏洞等級：高危，漏洞評分：8.0。
Apahce Shiro 由于處理身份驗證請求時出錯 存在 權限繞過漏洞，遠程攻擊者可以發(fā)送特制的HTTP請求，繞過身份驗證過程并獲得對應用程序的未授權訪問。
對此，禹宏信安建議廣大用戶及時將 Apache Shiro 升級到最新版本。與此同時，請做好資產(chǎn)自查以及預防工作，以免遭受黑客攻擊。
漏洞編號
CVE-2020-13933
漏洞危害
Apache Shiro是一個強大且易用的Java安全框架,執(zhí)行身份驗證、授權、密碼和會話管理。
之前Apache Shiro身份驗證繞過漏洞CVE-2020-11989的修復補丁存在缺陷，在1.5.3及其之前的版本，由于shiro在處理url時與spring仍然存在差異，依然存在身份校驗繞過漏洞由于處理身份驗證請求時出錯，遠程攻擊者可以發(fā)送特制的HTTP請求，繞過身份驗證過程并獲得對應用程序的未授權訪問。
漏洞等級
高危
受影響版本
Apache Shiro < 1.6.0
修復方案
升級到最新版本。下載地址為：
http://shiro.apache.org/download.html
參考鏈接
- https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E