CVE-2020-13933: Apache Shiro 权限绕过漏洞通告

报告编号：B6-2020-081801html

报告来源：360CERTspring

报告做者：360CERTapache

更新日期：2020-08-18安全

0x01 漏洞简述

2020年08月18日， 360CERT监测发现 Apache Shiro 发布了 Apahce Shiro 权限绕过 的风险通告，该漏洞编号为 CVE-2020-13933，漏洞等级：高危，漏洞评分：8.0。
Apahce Shiro 因为处理身份验证请求时出错存在 权限绕过漏洞，远程攻击者能够发送特制的HTTP请求，绕过身份验证过程并得到对应用程序的未受权访问。微信

对此，360CERT建议广大用户及时将 Apache Shiro 升级到最新版本。与此同时，请作好资产自查以及预防工做，以避免遭受黑客攻击。网络

0x02 风险等级

360CERT对该漏洞的评定结果以下框架

评定方式	等级
威胁等级	高危
影响面	普遍
360CERT评分	8.0

0x03 漏洞详情

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、受权、密码和会话管理。网站

以前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷，在1.5.3及其以前的版本，因为shiro在处理url时与spring仍然存在差别，依然存在身份校验绕过漏洞因为处理身份验证请求时出错，远程攻击者能够发送特制的HTTP请求，绕过身份验证过程并得到对应用程序的未受权访问。url

0x04 影响版本

Apache Shiro < 1.6.0spa

0x05 修复建议

通用修补建议：

升级到最新版本，下载地址为：http://shiro.apache.org/download.html 。

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统经过对全网资产测绘，发现Apache Shiro在 全球 均有普遍使用，具体分布以下图所示。

0x07 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台经过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。

0x08 时间线

2020-08-17 Apache Shiro发布通告

2020-08-18 360CERT发布通告

0x09 参考连接

一、 Apahce Shiro 官方通告

https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E