KnowSafe 安全预警：Apache Shiro Padding Oracle 远程命令执行漏洞（CVE-2019-12422）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-12422 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

CVE-2019-12422是Apache Shiro中的一个填充甲骨文攻击（Padding Oracle Attack）漏洞，影响1.4.2版本之前的Apache Shiro。攻击者可以利用“记住我”（remember me）功能中的AES加密模式，通过填充字节的方式逐步推断出加密密钥，最终实现远程命令执行。

影响范围:

此漏洞影响Apache Shiro 1.4.2之前的所有版本。由于Apache Shiro是一个广泛使用的Java安全框架，负责身份验证、授权、加密和会话管理，因此影响范围广泛。

影响范围

应用：apache shiro（影响面 Up to (excluding) 1.4.2）

解决方案

安全版本:

Apache Shiro 1.4.2及以上版本已经修复了此漏洞。用户应升级到这些安全版本以防止潜在的攻击。

参考信息

https://lists.apache.org/thread.html/c9db14cfebfb8e74205884ed2bf2e2b30790ce24b7dde9191c82572c%40%3Cdev.shiro.apache.org%3E

https://lists.apache.org/thread.html/r2d2612c034ab21a3a19d2132d47d3e4aa70105008dd58af62b653040%40%3Ccommits.shiro.apache.org%3E

https://lists.apache.org/thread.html/r2d2612c034ab21a3a19d2132d47d3e4aa70105008dd58af62b653040@%3Ccommits.shiro.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。