• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 應(yīng)用
  • -
    • Apache Shiro身份認(rèn)證繞過漏洞 CVE-2023-22602
    • CNNVD編號：未知
    • 危害等級： 未知
    • CVE編號：CVE-2023-22602
    • 漏洞類型： 認(rèn)證繞過
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時間：2023-01-18
    • 更新時間：2023-01-18

    漏洞簡介

    2023年1月17日，深信服安全團(tuán)隊監(jiān)測到一則Apache Shiro組件存在身份認(rèn)證繞過漏洞的信息，漏洞編號：CVE-2023-22602，漏洞威脅等級：中危。


    當(dāng)Apache Shiro版本小于1.11.0且Spring Boot版本大于2.6時，一個特制的HTTP請求可能會導(dǎo)致繞過身份驗證。該漏洞是由于Apache Shiro和Spring Boot使用不同的模式匹配技術(shù)導(dǎo)致，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)繞過Apache Shiro的權(quán)限配置機(jī)制，最終可繞過用戶身份認(rèn)證，導(dǎo)致權(quán)限校驗失敗。

    漏洞公示

    暫無

    參考網(wǎng)站

    https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

    受影響實體

    目前受影響的Apache Shiro版本：

    Apache Shiro < 1.11.0

    補(bǔ)丁

    當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：

    https://shiro.apache.org/download.html