安全通告
Apache Shiro身份認證繞過漏洞風險通告
發(fā)布日期：2022-6-30
?
漏洞描述
近日，捕獲到 Apache Shiro 身份認證繞過漏洞 0day 相關(guān)漏洞情報，攻擊者可以通過構(gòu)造惡意數(shù)據(jù)包繞過身份認證，導致配置的權(quán)限驗證失效。Apache Shiro 是一個功能強大且易于使用的 Java 安全框架，可執(zhí)行身份驗證、授權(quán)、加密和會話管理，借助 Shiro 易于理解的 API，用戶可以快速、輕松地保護任何應用程序。
漏洞編號
CVE-2022-32532
漏洞危害
當?Apache Shiro中使用 RegexRequestMatcher 方式進行權(quán)限配置，且正則表達式中攜帶”.”時，未經(jīng)授權(quán)的遠程攻擊者可通過構(gòu)造惡意數(shù)據(jù)包繞過身份認證，導致配置的權(quán)限驗證失效。
漏洞等級
高危
受影響版本
| Apache Shiro | 是否受影響 |
| < 1.9.1 | 是 |
| >= 1.9.1 | 否 |
?
修復方案
目前 Apache 官方已發(fā)布此漏洞修復版本，建議用戶盡快升級至 Apache Shiro 1.9.1 及以上版本。
參考鏈接
- https://github.com/apache/shiro/releases/tag/shiro-root-1.9.1