KnowSafe 安全预警：Shiro < 1.5.3 验证绕过漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-11989 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Shiro是美国阿帕奇（Apache）软件基金会的一套用于执行认证、授权、加密和会话管理的Java安全框架。<br />

Apache Shiro 1.5.3之前版本中存在安全漏洞（CVE-2020-11989）。攻击者可借助特制请求利用该漏洞绕过身份验证。

影响范围

应用：apache shiro（影响面 Up to (excluding) 1.5.3）

系统：debian_10 shiro（影响面 Up to (excluding) 1.3.2-4+deb10u1）

系统：debian_11 shiro（影响面 Up to (excluding) 1.3.2-4+deb11u1）

系统：debian_12 shiro（影响面 Up to (excluding) 1.3.2-5）

系统：debian_9 shiro（影响面 Up to (excluding) 1.3.2-1+deb9u1）

系统：ubuntu_18.04 shiro（影响面 Up to (excluding) 1.3.2-3~18.04.1）

系统：ubuntu_20.04 shiro（影响面 Up to (excluding) 1.3.2-4ubuntu0.1）

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

http://archiva.apache.org/security.html#CVE-2020-9495

参考信息

https://lists.apache.org/thread.html/r2d2612c034ab21a3a19d2132d47d3e4aa70105008dd58af62b653040%40%3Ccommits.shiro.apache.org%3E

https://lists.apache.org/thread.html/r408fe60bc8fdfd7c74135249d646d7abadb807ebf90f6fd2b014df21%40%3Cdev.geode.apache.org%3E

https://lists.apache.org/thread.html/r72815a124a119c450b86189767d06848e0d380b1795c6c511d54a675%40%3Cdev.shiro.apache.org%3E

https://lists.apache.org/thread.html/r72815a124a119c450b86189767d06848e0d380b1795c6c511d54a675%40%3Cuser.shiro.apache.org%3E

https://lists.apache.org/thread.html/rab1972d6b177f7b5c3dde9cfb0a40f03bca75f0eaf1d8311e5762cb3%40%3Ccommits.shiro.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。