Apache Shiro身份認(rèn)證繞過(guò)漏洞 CVE-2023-22602
  • CNNVD編號(hào)：未知
  • 危害等級(jí)： 未知
  • CVE編號(hào)：CVE-2023-22602
  • 漏洞類型： 認(rèn)證繞過(guò)
  • 威脅類型：未知
  • 廠       商：未知
  • 漏洞來(lái)源：深信服
  • 發(fā)布時(shí)間：2023-01-18
  • 更新時(shí)間：2023-01-18

漏洞簡(jiǎn)介

2023年1月17日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache Shiro組件存在身份認(rèn)證繞過(guò)漏洞的信息，漏洞編號(hào)：CVE-2023-22602，漏洞威脅等級(jí)：中危。


當(dāng)Apache Shiro版本小于1.11.0且Spring Boot版本大于2.6時(shí)，一個(gè)特制的HTTP請(qǐng)求可能會(huì)導(dǎo)致繞過(guò)身份驗(yàn)證。該漏洞是由于Apache Shiro和Spring Boot使用不同的模式匹配技術(shù)導(dǎo)致，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)繞過(guò)Apache Shiro的權(quán)限配置機(jī)制，最終可繞過(guò)用戶身份認(rèn)證，導(dǎo)致權(quán)限校驗(yàn)失敗。

漏洞公示

暫無(wú)

參考網(wǎng)站

https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

受影響實(shí)體

目前受影響的Apache Shiro版本：

Apache Shiro < 1.11.0

補(bǔ)丁

當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：

https://shiro.apache.org/download.html