- CNNVD編號(hào)：未知
- 危害等級(jí)： 中危
- CVE編號(hào)：CVE-2020-17523
- 漏洞類型： 繞過登錄驗(yàn)證
- 威脅類型：遠(yuǎn)程
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時(shí)間：2021-02-02
- 更新時(shí)間：2021-02-02
漏洞簡(jiǎn)介
1、組件介紹
Apache Shiro是一個(gè)功能強(qiáng)大且易于使用的Java安全框架，功能包括身份驗(yàn)證、授權(quán)、加密和會(huì)話管理。使用Shiro的API，可以輕松地、快速地保護(hù)任何應(yīng)用程序，范圍從小型的移動(dòng)應(yīng)用程序到大型的Web和企業(yè)應(yīng)用程序。內(nèi)置了可以連接大量安全數(shù)據(jù)源（又名目錄）的Realm，如LDAP、關(guān)系數(shù)據(jù)庫（JDBC）、類似INI的文本配置資源以及屬性文件等。
2、漏洞描述
2021年2月1日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache Shiro組件存在權(quán)限繞過漏洞的信息，漏洞編號(hào)：CVE-2020-17523，漏洞危害：中危。該漏洞是由于Apache Shiro與Spring結(jié)合使用時(shí)，攻擊者可以發(fā)送特定的HTTP請(qǐng)求繞過驗(yàn)證，獲取敏感權(quán)限。
漏洞公示
參考網(wǎng)站
受影響實(shí)體
Apache Shiro是一個(gè)功能強(qiáng)大且易于使用的Java安全框架，功能包括身份驗(yàn)證、授權(quán)、加密和會(huì)話管理。全球約有兩萬臺(tái)服務(wù)器使用了該框架，中國地區(qū)占比60%以上，主要集中在浙江、廣東、北京等地。可能受漏洞影響的資產(chǎn)分布于世界各地。
目前受影響的Apache Shiro版本：
Apache Shiro < 1.7.1
補(bǔ)丁
1、如何檢測(cè)組件系統(tǒng)版本
在config\pom.xml的version標(biāo)簽中可以查看版本號(hào)。
2、官方修復(fù)建議
當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。最新版下載地址：
