Apache Shiro身份验证绕过缝隙来袭 8827太阳集团提供解决规划
颁布功夫 2022-10-13
10月12日，，，，，，，，Apache官方披露了Apache Shiro存在身份验证绕过缝隙，，，，，，，，当通过 RequestDispatcher 进行转发或蕴含时存在身份验证绕过缝隙。。 。 。。。。犯法分子则利用该缝隙在未授权的情况下，，，，，，，，机关恶意数据绕过 Shiro 的权限配置机造，，，，，，，，最终可绕过用户身份认证，，，，，，，，导致权限校验失败。。 。 。。。。8827太阳集团缝隙扫描产品团队在第一功夫对这个缝隙进行了垂危响应并提供给急措置规划。。 。 。。。。
尝试室秉持以需要为导向、知识赋能产品的主题理想，，，，，，，，专一于提供网络空间安全的基础知识钻研和开发，，，，，，，，造订结合威胁和缝隙谍报、网络空间资产和云安全监测数据等综合谍报以及用户现实场景的安全分析防护战术，，，，，，，，构建自动化调查和措置响应措施，，，，，，，，形成场景化、结构化的知识工程系统，，，，，，，，对各类安全产品、平台和安全运营提供知识赋能。。 。 。。。。
Apache Shiro是一个壮大且易用的Java安全框架,执行身份验证、授权、密码和会话治理。。 。 。。。。使用Shiro的API,可急剧、轻松地获得任何利用法式,从最幼的移动利用法式到最大的网络和企业利用法式。。 。 。。。。目前该缝隙POC（概想验证代码）虽未公开，，，，，，，，但存在被犯法分子利用进行挖矿木马和僵尸网络等入侵行为的风险。。 。 。。。。
缝隙检测
8827太阳集团天镜脆弱性扫描与治理系统已垂危颁布针对该缝隙的升级包，，，，，，，，支持对该缝隙进行授权扫描，，，，，，，，用户升级尺度缝隙库后即可对该缝隙进行扫描：
6070版本升级包为607000465，，，，，，，，升级包下载地址：
https://venustech.download.venuscloud.cn/
升级后已支持该缝隙
请使用8827太阳集团天镜脆弱性扫描与治理系统产品的用户尽快升级到最新版本，，，，，，，，实时对该缝隙进行检测，，，，，，，，以便尽快采取防备措施。。 。 。。。。
一时措施
若是目前无法升级，，，，，，，，若业务环境允许，，，，，，，，使用白名单限度web端口的接见来降低风险。。 。 。。。。
建复建议
官方已经针对缝隙颁布了软件更新，，，，，，，，下载地址如下：
https://shiro.apache.org/download.html
北冥数据尝试室
尝试室秉持以需要为导向、知识赋能产品的主题理想，，，，，，，，专一于提供网络空间安全的基础知识钻研和开发，，，，，，，，造订结合威胁和缝隙谍报、网络空间资产和云安全监测数据等综合谍报以及用户现实场景的安全分析防护战术，，，，，，，，构建自动化调查和措置响应措施，，，，，，，，形成场景化、结构化的知识工程系统，，，，，，，，对各类安全产品、平台和安全运营提供知识赋能。。 。 。。。。
京公网安备11010802024551号