Apache Shiro <1.11.0 存在身份验证绕过漏洞

时间:2023-01-17 14:07:53

漏洞描述

Apache Shiro 是一个可执行身份验证、授权、加密和会话管理的 Java 安全框架。

由于 1.11.0 及之前版本的 Shiro 只兼容 Spring 的“ant-style”路径匹配模式(pattern matching),且 2.6 及之后版本的 Spring Boot 将 Spring MVC 处理请求的路径匹配模式从 AntPathMatcher 更改为了 PathPatternParser,当 1.11.0 及之前版本的 Apache Shiro 和 2.6 及之后版本的 Spring Boot 使用不同的路径匹配模式时,攻击者通过特制的 HTTP 请求绕过 Shiro 的身份验证。

开发者可通过修改 Spring boot 的路径匹配模式为“AntPathMatcher”缓解此漏洞:

spring.mvc.pathmatch.matching-strategy = ant_path_matcher

漏洞名称 Apache Shiro <1.11.0 存在身份验证绕过漏洞
漏洞类型 解释冲突
发现时间 2023-01-14
漏洞影响广度 一般
MPS编号 MPS-2023-0169
CVE编号 CVE-2023-22602
CNVD编号 -

影响范围

org.apache.shiro:shiro-web@[1.0.0-incubating, 1.11.0)

修复方案

升级org.apache.shiro:shiro-web到 1.11.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-0169

https://nvd.nist.gov/vuln/detail/CVE-2023-22602

https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

https://issues.apache.org/jira/browse/SHIRO-899

https://github.com/apache/shiro/commit/4edaf476da4539127de81ef6f301a45e53ca5338

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式,发布开源项目最新的安全风险动态,包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务,社区用户可通过配置飞书、钉钉、企业微信机器人,及时获得一手情报信息推送:

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见:

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

Apache Shiro <1.11.0 存在身份验证绕过漏洞