CVE-2020-13933: Apache Shiro 权限绕过漏洞通告

  • A+
所属分类:安全漏洞

报告编号:B6-2020-081801

报告来源:360CERT

报告作者:360CERT

更新日期:2020-08-18

0x01 漏洞简述

2020年08月18日, 360CERT监测发现 Apache Shiro 发布了 Apahce Shiro 权限绕过 的风险通告,该漏洞编号为 CVE-2020-13933,漏洞等级:高危,漏洞评分:8.0
Apahce Shiro 由于处理身份验证请求时出错 存在 权限绕过漏洞,远程攻击者可以发送特制的HTTP请求,绕过身份验证过程并获得对应用程序的未授权访问。

对此,360CERT建议广大用户及时将 Apache Shiro 升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式 等级
威胁等级 高危
影响面 广泛
360CERT评分 8.0

0x03 漏洞详情

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。

之前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷,在1.5.3及其之前的版本,由于shiro在处理url时与spring仍然存在差异,依然存在身份校验绕过漏洞由于处理身份验证请求时出错,远程攻击者可以发送特制的HTTP请求,绕过身份验证过程并获得对应用程序的未授权访问。

0x04 影响版本

  • Apache Shiro < 1.6.0

0x05 修复建议

通用修补建议:

升级到最新版本,下载地址为:http://shiro.apache.org/download.html  。

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现Apache Shiro全球 均有广泛使用,具体分布如下图所示。

CVE-2020-13933: Apache Shiro 权限绕过漏洞通告

0x07 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段,对该类漏洞进行监测,请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。

CVE-2020-13933: Apache Shiro 权限绕过漏洞通告

0x08 时间线

2020-08-17  Apache Shiro发布通告

2020-08-18  360CERT发布通告

0x09 参考链接

1、 Apahce Shiro 官方通告

https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E

CVE-2020-13933: Apache Shiro 权限绕过漏洞通告推荐阅读:

1、安全运营周刊第四期

2、360CERT每日安全简报

3、安全事件周报 (8.10-8.16)

长按下方二维码关注360CERT!谢谢你的关注!
 CVE-2020-13933: Apache Shiro 权限绕过漏洞通告  

注:360CERT官方网站提供 《CVE-2020-13933: Apache Shiro 权限绕过漏洞通告》 完整详情,点击阅读原文

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: