Apache Shiro 权限绕过误差危害通告

宣布时间 2020-03-26

误差编号和级别


CVE编号：CVE-2020-1957 ，，，，，，危险级别：中危 ，，，，，，CVSS分值：官方未评定


影响版本


Apache Shiro < 1.5.2


误差概述


Apache Shiro是一个Java清静框架 ，，，，，，执行身份验证、授权、密码、会话治理。。。Shiro是Apache 的一个开源项目 ，，，，，，前身是JSecurity 项目 ，，，，，，始于2003年头。。。Shiro 可以为任何应用提供清静包管 - 从下令行应用、移动应用到大型网络及企业应用。。。

克日 ，，，，，，Shiro官方宣布了一个清静更新通告： Shiro < 1.5.2 版本保存一处权限绕过误差 ，，，，，，当受影响版本的 Shiro框架连系 Spring dynamic controllers 使用时 ，，，，，，未经授权的远程攻击者可以通过全心结构的请求包举行权限绕过 ，，，，，，可能造成鉴权系统失效以及后台功效袒露。。。


误差验证


暂无PoC/EXP。。。


修复建议


现在官方已宣布新版本 ，，，，，，请更新到 Shiro 1.5.2及以上版本 ，，，，，，链接：http://shiro.apache.org/download.html。。。


参考链接


https://seclists.org/oss-sec/2020/q1/120