报告编号：B6-2020-081801
报告来源：360CERT
报告作者：360CERT
更新日期：2020-08-18
0x01 漏洞简述
2020年08月18日， 360CERT监测发现 Apache Shiro 发布了 Apahce Shiro 权限绕过 的风险通告，该漏洞编号为 CVE-2020-13933，漏洞等级：高危，漏洞评分：8.0。Apahce Shiro 由于处理身份验证请求时出错 存在 权限绕过漏洞，远程攻击者可以发送特制的HTTP请求，绕过身份验证过程并获得对应用程序的未授权访问。
对此，360CERT建议广大用户及时将 Apache Shiro 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 360CERT评分 | 8.0 |
0x03 漏洞详情
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。
之前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷，在1.5.3及其之前的版本，由于shiro在处理url时与spring仍然存在差异，依然存在身份校验绕过漏洞由于处理身份验证请求时出错，远程攻击者可以发送特制的HTTP请求，绕过身份验证过程并获得对应用程序的未授权访问。
0x04 影响版本
-
Apache Shiro < 1.6.0
0x05 修复建议
通用修补建议：
升级到最新版本，下载地址为：http://shiro.apache.org/download.html 。
0x06 相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现Apache Shiro在 全球 均有广泛使用，具体分布如下图所示。
0x07 产品侧解决方案
360城市级网络安全监测服务
360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x08 时间线
2020-08-17 Apache Shiro发布通告
2020-08-18 360CERT发布通告
0x09 参考链接
1、 Apahce Shiro 官方通告
https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E
推荐阅读：
长按下方二维码关注360CERT！谢谢你的关注！
注：360CERT官方网站提供 《CVE-2020-13933: Apache Shiro 权限绕过漏洞通告》 完整详情，点击阅读原文
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论