Apache Shiro 权限绕过缝隙风险公告

颁布功夫 2020-03-26

缝隙编号和级别


CVE编号：CVE-2020-1957，，，，， ，，危险级别：中危，，，，， ，，CVSS分值：官方未评定


影响版本


Apache Shiro < 1.5.2


缝隙概述


Apache Shiro是一个Java安全框架，，，，， ，，执行身份验证、授权、密码、会话治理。。。。。Shiro是Apache 的一个开源项目，，，，， ，，前身是JSecurity 项目，，，，， ，，始于2003岁首。。。。。Shiro 可以为任何利用提供安全保险 - 从号令行利用、移动利用到大型网络及企业利用。。。。。

近日，，，，， ，，Shiro官方颁布了一个安全更新布告： Shiro < 1.5.2 版本存在一处权限绕过缝隙，，，，， ，，当受影响版本的 Shiro框架结合 Spring dynamic controllers 使用时，，，，， ，，未经授权的远程攻击者能够通过精心机关的要求包进行权限绕过，，，，， ，，可能造成鉴权系统失效以及后盾职能露出。。。。。


缝隙验证


暂无PoC/EXP。。。。。


建复建议


目前官方已颁布新版本，，，，， ，，请更新到 Shiro 1.5.2及以上版本，，，，， ，，链接：http://shiro.apache.org/download.html。。。。。


参考链接


https://seclists.org/oss-sec/2020/q1/120