Apache Shiro驗證繞過漏洞（CVE-2020-17523）
發布時間 2021-02-020x00 漏洞概述
CVE ID | CVE-2020-17523 | 時 間 | 2021-02-02 |
類 型 | 驗證繞過 | 等 級 | 中危 |
遠程利用 | 是 | 影響范圍 | Apache Shiro < 1.7.1 |
0x01 漏洞詳情
Apache Shiro是一個強大且易用的Java安全框架,其支持身份驗證、授權、密碼和會話管理等。使用Shiro的API可以快速、輕松地獲得任何應用程序。
2021年02月01日，Apache Shiro發布1.7.1版本，修復了 Apache Shiro 中的一個身份驗證繞過漏洞（CVE-2020-17523）。當Apache Shiro與Spring結合使用時，攻擊者可以使用惡意HTTP請求來繞過Shiro的身份認證。成功利用此漏洞的攻擊者可以繞過身份驗證，成功訪問后臺。
0x02 處置建議
目前該漏洞已被修復，建議升級至Apache Shiro 1.7.1。
下載鏈接：
https://shiro.apache.org/download.html
0x03 參考鏈接
https://lists.apache.org/thread.html/r13fe9ddc4ebdbf17db22cf1dd2776144bf9fdbfbdf2887a0385538aa%40%3Ccommits.shiro.apache.org%3E
https://shiro.apache.org/news.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17523
0x04 時間線
2021-02-01 Apache Shiro發布安全更新
2021-02-02 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號