Apache Shiro验证绕过缝隙（CVE-2020-17523）

颁布功夫 2021-02-02

0x00 缝隙概述

CVE  ID

CVE-2020-17523

时  间

2021-02-02

类   型

验证绕过

等  级

中危

远程利用

是

影响领域

Apache Shiro < 1.7.1

 

0x01 缝隙详情

image.png

 

Apache Shiro是一个壮大且易用的Java安全框架,其支持身份验证、授权、密码和会话治理等。使用Shiro的API能够急剧、轻松地获得任何利用法式。

2021年02月01日  ，Apache Shiro颁布1.7.1版本  ，建复了 Apache Shiro 中的一个身份验证绕过缝隙（CVE-2020-17523）。当Apache Shiro与Spring结合使用时  ，攻击者能够使用恶意HTTP要求来绕过Shiro的身份认证。成功利用此缝隙的攻击者能够绕过身份验证  ，成功接见后盾。

 

0x02 措置建议

目前该缝隙已被建复  ，建议升级至Apache Shiro 1.7.1。

下载链接：

https://shiro.apache.org/download.html

 

0x03 参考链接

https://lists.apache.org/thread.html/r13fe9ddc4ebdbf17db22cf1dd2776144bf9fdbfbdf2887a0385538aa%40%3Ccommits.shiro.apache.org%3E

https://shiro.apache.org/news.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17523

 

0x04 功夫线

2021-02-01  Apache Shiro颁布安全更新

2021-02-02  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png