Apache Shiro身份验证绕过缝隙来袭 GA黄金甲提供解决规划

颁布功夫 2022-10-13
10月12日，Apache官方披露了Apache Shiro存在身份验证绕过缝隙，当通过 RequestDispatcher 进行转发或蕴含时存在身份验证绕过缝隙。犯法分子则利用该缝隙在未授权的情况下，机关恶意数据绕过 Shiro 的权限配置机造，最终可绕过用户身份认证，导致权限校验失败。GA黄金甲缝隙扫描产品团队在第一功夫对这个缝隙进行了垂危响应并提供给急措置规划。


GA黄金甲·(中国区)官方网站


Apache Shiro是一个壮大且易用的Java安全框架,执行身份验证、授权、密码和会话治理。使用Shiro的API,可急剧、轻松地获得任何利用法式,从最幼的移动利用法式到最大的网络和企业利用法式。目前该缝隙POC（概想验证代码）虽未公开，但存在被犯法分子利用进行挖矿木马和僵尸网络等入侵行为的风险。


缝隙检测 


GA黄金甲天镜脆弱性扫描与治理系统已垂危颁布针对该缝隙的升级包，支持对该缝隙进行授权扫描，用户升级尺度缝隙库后即可对该缝隙进行扫描：


6070版本升级包为607000465，升级包下载地址：

https://venustech.download.venuscloud.cn/


GA黄金甲·(中国区)官方网站


升级后已支持该缝隙


请使用GA黄金甲天镜脆弱性扫描与治理系统产品的用户尽快升级到最新版本，实时对该缝隙进行检测，以便尽快采取防备措施。


一时措施 


若是目前无法升级，若业务环境允许，使用白名单限度web端口的接见来降低风险。


建复建议 


官方已经针对缝隙颁布了软件更新，下载地址如下：

https://shiro.apache.org/download.html


北冥数据尝试室


北冥数据尝试室由GA黄金甲集团天镜缝隙钻研团队、泰合知识工程团队、大数据尝试室（BDlab）场景化分析团队结合组成，致力于网络空间安全知识工程钻研和系统化建设的专业团队。
尝试室秉持以需要为导向、知识赋能产品的主题理想，专一于提供网络空间安全的基础知识钻研和开发，造订结合威胁和缝隙谍报、网络空间资产和云安全监测数据等综合谍报以及用户现实场景的安全分析防护战术，构建自动化调查和措置响应措施，形成场景化、结构化的知识工程系统，对各类安全产品、平台和安全运营提供知识赋能。