Apache Shiro验证绕过误差（CVE-2020-17523）

宣布时间 2021-02-02

0x00 误差概述

CVE  ID

CVE-2020-17523

时  间

2021-02-02

类   型

验证绕过

等  级

中危

远程使用

是

影响规模

Apache Shiro < 1.7.1

 

0x01 误差详情

image.png

 

Apache Shiro是一个强盛且易用的Java清静框架,其支持身份验证、授权、密码和会话管理等 。使用Shiro的API可以快速、轻松地获得任何应用程序 。

2021年02月01日，Apache Shiro宣布1.7.1版本，修复了 Apache Shiro 中的一个身份验证绕过误差（CVE-2020-17523） 。当Apache Shiro与Spring团结使用时，攻击者可以使用恶意HTTP请求来绕过Shiro的身份认证 。乐成使用此误差的攻击者可以绕过身份验证，乐成会见后台 。

 

0x02 处置惩罚建议

现在该误差已被修复，建议升级至Apache Shiro 1.7.1 。

下载链接：

https://shiro.apache.org/download.html

 

0x03 参考链接

https://lists.apache.org/thread.html/r13fe9ddc4ebdbf17db22cf1dd2776144bf9fdbfbdf2887a0385538aa%40%3Ccommits.shiro.apache.org%3E

https://shiro.apache.org/news.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17523

 

0x04 时间线

2021-02-01  Apache Shiro宣布清静更新

2021-02-02  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png