登录

欢迎user新华三退出

简体中文

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 关于我们

Apache Shiro 身份认证绕过漏洞通告(CVE-2023-22602)

【发布时间：2023-02-20】

威胁预警团队

2022/01/17


1. 漏洞综述

1.1 漏洞背景

Apache Shiro是一个强大且易用的Java安全框架,能够用于身份验证、授权、加密和会话管理。Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。近日，新华三攻防实验室威胁预警团队监测Apace官方发布安全公告，修复了一个存在于Apache Shiro中的身份认证绕过漏洞（CVE-2023-22602），新华三攻防实验室建议用户更新Apache Shiro 到最新的安全版本避免遭受攻击利用。

1.2 漏洞详情

当在Spring Boot 2.6版本以上的环境中使用Apache Shiro，且Shiro和Spring Boot使用不同的路径匹配模式时，恶意攻击者通过构造特制的 HTTP 请求，成功利用此漏洞可实现身份验证绕过。

2. 影响范围

Apache Shiro < 1.11.0

3. 严重等级

威胁等级

中危

影响程度

广泛

利用价值

低

利用难度

高

漏洞评分

7.0

4. 处置方法

4.1 官方补丁

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://shiro.apache.org/download.html

4.2 临时解决措施

1、修改Spring Boot的配置：spring.mvc.pathmatch.matching-strategy = ant_path_matcher

5. 参考链接

https://shiro.apache.org/download.html

https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

新华三官网
联系我们