漏洞预警|Apache Shiro身份认证绕过漏洞

棱镜七彩行业 2022-07-06 13:44:08

90156

导语：近日网上有关于开源项目Apache Shiro身份认证绕过漏洞，棱镜七彩安全研究院对漏洞进行了POC验证

开源漏洞深度分析

近日网上有关于开源项目Apache Shiro身份认证绕过漏洞，棱镜七彩安全研究院对漏洞进行了POC验证。

Cve编号：

CVE-2022-32532

项目介绍：

Apache Shiro是一个强大且易用的Java安全框架，用于执行身份验证、授权、密码和会话管理。

项目主页：

https://shiro.apache.org/

代码托管地址：

https://github.com/apache/shiro

漏洞情况：

当Apache Shiro中使用RegexRequestMatcher进行权限配置，且正则表达式中携带"."时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证，导致配置的权限验证失效。

影响版本：

Apache Shiro < 1.9.1

修复方案：

目前Apache官方已发布此漏洞修复版本，建议用户尽快升级至Apache Shiro 1.9.1及以上版本。

参考链接：

如若转载，请注明原文地址

感谢您的支持，我会继续努力的!

打开微信扫一扫后点击右上角即可分享哟