KnowSafe 安全预警：Apache Shiro RequestDispatcher 权限绕过漏洞（CVE-2022-40664）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-40664 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

2022年10月12日，Apache 官方披露 CVE-2022-40664 Apache Shiro 权限绕过漏洞。Shiro 1.10.0 之前版本，在代码中使用RequestDispatcher进行转发时可能存在认证绕过漏洞。

影响范围

应用：apache shiro（影响面 Up to (excluding) 1.10.0）

解决方案

目前该漏洞已经修复，受影响用户可以升级到Apache Shiro 1.10.0或更高版本，官方链接：https://shiro.apache.org/download.html

参考信息

http://www.openwall.com/lists/oss-security/2022/10/12/1

http://www.openwall.com/lists/oss-security/2022/10/12/2

http://www.openwall.com/lists/oss-security/2022/10/13/1

https://lists.apache.org/thread/loc2ktxng32xpy7lfwxto13k4lvnhjwg

https://lists.apache.org/thread/ynx4mx9phc61ctr80lbwp1rsg2lmn6k4

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。