KnowSafe 安全预警：Apache Shiro <= 1.2.4 默认密钥致命令执行漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2016-4437 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Shiro是美国阿帕奇（Apache）软件基金会的一套用于执行认证、授权、加密和会话管理的Java安全框架。 Apache Shiro 1.0.0版本至1.2.4版本中存在信息泄露漏洞，该漏洞源于程序未能正确配置&lsquo;remember me&rsquo;功能使用的密钥。攻击者可通过发送带有特制参数的请求利用该漏洞执行任意代码或访问受限制内容。

影响范围

应用：apache shiro（影响面 Up to (including) 1.2.4）

系统：debian DPKG（影响面 Up to (excluding) 1.2.5-1）

系统：debian_10 shiro（影响面 Up to (excluding) 1.2.5-1）

系统：debian_11 shiro（影响面 Up to (excluding) 1.2.5-1）

系统：debian_12 shiro（影响面 Up to (excluding) 1.2.5-1）

系统：ubuntu_18.04.5_lts shiro（影响面 Up to (excluding) 1.3.2-2）

系统：ubuntu_18.10 shiro（影响面 Up to (excluding) 1.3.2-2）

解决方案

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接： http://shiro.apache.org/download.html

参考信息

http://packetstormsecurity.com/files/137310/Apache-Shiro-1.2.4-Information-Disclosure.html

http://packetstormsecurity.com/files/157497/Apache-Shiro-1.2.4-Remote-Code-Execution.html

http://rhn.redhat.com/errata/RHSA-2016-2035.html

http://rhn.redhat.com/errata/RHSA-2016-2036.html

http://www.securityfocus.com/archive/1/538570/100/0/threaded

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。