2020年8月17日,Apache Shiro框架漏洞

最新推荐文章于 2024-07-14 19:10:03 发布
最新推荐文章于 2024-07-14 19:10:03 发布
阅读量2.1k 收藏
点赞数
分类专栏： 安全漏洞 文章标签： shiro 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/abcd199811/article/details/108077687
版权

昨日,Apache团队发布了一则公告:

可以看到,在1.6之前的版本会被特定的http请求导致身份验证绕过,解决办法为升级到1.6之后的版本.

Apache Shiro发布1.6.0版本修复该漏洞绕过。建议使用该框架的产品尽快采取措施阻止漏洞攻击。

影响版本：Apache Shiro < 1.6.0
安全版本：Apache Shiro >= 1.6.0
相关链接：https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E

昊阳呀
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Apache Shiro 框架简介
01-11
Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能：  认证 – 用户身份识别，常被称为用户“登录”； 授权 – 访问控制； 密码加密 – 保护或隐藏数据防止被偷窥； ...
Apache Shiro安全框架-其他
06-12
Apache Shiro（发音为“shee-roh”，日语为“castle”）是一种功能强大且易于使用的Java安全框架，可执行身份验证，授权，加密和会话管理，可用于保护任何应用程序的安全-从命令行应用程序，移动应用程序到最大的Web...
Apache shiro 漏洞总结
星落的博客
08-01 4593
Apache shiro 漏洞总结 Apache shiro是一个强大灵活的开源安全框架，可以完全处理身份验证、授权、密码和会话管理。
Apache Shiro 身份认证绕过漏洞CVE-2022-32532
qq_24380005的博客
07-01 1872
Apache Shiro官方与6月28日修复了一个身份认证绕过漏洞CVE-2022-32532，漏洞内容为当在Apache Shiro中使用RegexRequestMatcher进行权限配置并且配置的正则表达式中存在”.”时，可以通过构造恶意数据包的方式绕过身份验证，导致权限控制失效。官方描述 漏洞修复版本 Apache Shiro < 1.9.1目前Apache官方已发布此漏洞修复版本，建议用户尽快升级至Apache Shiro 1.9.1及以上版本。 将Apache Shiro版本升级到1.9.1及以
shiro漏洞浅探
2301_82000839的博客
05-16 1028
CVE-2020-11989 的修复补丁存在缺陷，在 1.5.3 及其之前的版本，由于 shiro 在处理 url 时与 spring 仍然存在差异，依然存在身份校验绕过漏洞由于处理身份验证请求时出错，远程攻击者可以发送特制的 HTTP 请求，绕过身份验证过程并获得对应用程序的未授权访问。该漏洞产生的原因主要是shiro层在处理url上和spring上存在差异，主要是在处理;上的问题，通过构造含有;符号的url即可绕过shiro在权限上的处理，而spring不负责权限管控，所以最终会导致权限绕过。ant。
shiro反序列化漏洞
m0_63645854的博客
06-13 610
本文主要介绍了shiro反序列化漏洞的原理，影响版本以及防御方式
[漏洞复现]Apache Shiro ＜ 1.6.0 验证绕过漏洞（CVE-2020-13933）
k5664524的博客
01-16 734
p>Apahce Shiro 由于处理身份验证请求时出错 存在 权限绕过漏洞，远程攻击者可以发送特制的HTTP请求，绕过身份验证过程并获得对应用程序的未授权访问。
Apache Shiro Padding Oracle漏洞可导致远程命令执行漏洞解决
01-09
背景：Apach Shiro官方披露其cookie持久化参数rememberMe加密算法存在漏洞，可被Padding Oracle攻击，攻击者利用Padding Oracle攻击手段可构造恶意的rememberMe值，绕过加密算法验证，执行java反序列化操作，最终可...
基于Java的Apache Shiro安全框架设计源码
06-01
本源码是基于Java开发的Apache Shiro安全框架设计，包含1040个文件，其中包括724个.java文件，92个.groovy文件，72个.xml文件，36个.jsp文件，以及23个.properties文件，16个.ini文件，10个.md文件，7个.css文件和5...
Apache Struts Showcase App 2.0.0 到 2.3.13（在 2.3.14.3 之前的 Struts 2 中使用）远程代码执行漏洞（CVE-2013-1965）
最新发布
Flag少侠的博客
07-14 9330
打开靶场可以看到有一个输入框，尝试输入一些值提交值作为 name 参数拼接在 URL 后面如果不输入参数直接提交则会得到当前网页的完全路径复制路径打开 K8 工具工具下载pwd=6666使用 S2-016 获取信息成功执行命令获取 flagt=N7T8工具下载https://pan.baidu.com/s/1gAV9uzWZgmC3ojKNeKAjsQ?pwd=6666。
shiro1.6版本
09-07
2020年8月17日，shiro发布了1.6.0版本，修复了绕过认证的bug。这里面包含1.1、1.6版本的jar包
shiro1.6.0.zip
08-20
最新shiro1.6.0最全的jar包，包含shiro-features-1.6.0-features.xml的配置以及shiro-core shiro-spring shiro-web 等等一系列jar
shiro最新版本 1.6.0登录bug修复
08-22 7589
2020年8月17日，shiro发布了1.6.0版本，修复了绕过认证的bug。但实际升级后，使用中发现第一次打开浏览器访问时会出现Invalid request。具体错误提示如下： 降级到1.4.2时是可以正常登录的，反复试验几次，确定是升级shiro版本引起，阅读shiro 1.6.0源码，发现shiro引入了InvalidRequestFilter过滤器，目的是验证url上是否有恶意伪造的特殊字符。但这个类也正好将登录url拼接的 ;jsessionId=xxx 也一起拦截了，结果就出现了.
Shiro框架漏洞
slismy的博客
09-12 5364
一、Shiro漏洞原理 Apache Shiro框架提供了记住我的功能（RemeberMe），用户登录成功后会生成经过加密并编码的cookie。 cookie的key为RemeberMe，cookie的值是经过对相关信息进行序列化，然后使用aes加密，最后在使用base64编码处理形成的 在服务端接收cookie值时，按以下步骤解析： 检索RemeberMe cookie的值 Base 64解码 使用ACE解密（加密密钥硬编码） 进行反序列化操作（未作过滤处理） 在调用反序列化的时候未进行任何过滤，导致
Spring Boot项目Shiro1.7.1版本默认密钥的漏洞
UDWORLD的博客
09-06 3066
Shiro1.7.1版本默认密钥的漏洞
shrio反序列漏洞修复_Apache Shiro Java 反序列化漏洞分析
weixin_36003864的博客
01-17 690
Author: rungobier(知道创宇404安全实验室)Date: 2016-08-030x00 概述Apache Shiro 在 Java 的权限及安全验证框架中占用重要的一席之地，在它编号为550的 issue 中爆出严重的 Java 反序列化漏洞。下面，我们将模拟还原此漏洞的场景以及分析过程。0x01 漏洞场景还原首先，需要获取 Apache Shiro 存在漏洞的源代码，具体操作如下...
Apache Shiro高风险权限绕过漏洞详情及规避措施
leeadmin的博客
08-18 1817
Apache Shiro高风险权限绕过漏洞详情及规避措施 Apache Shiro存在高风险漏洞。该漏洞可导致身份验证绕过。目前厂商已发布新版本修复此漏洞。 漏洞具体信息： 【漏洞编号】CVE-2020-13933 【影响范围】低于1.6.0的版本（不包含） 【漏洞描述】蚂蚁非攻实验室发现针对之前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷，在1.5.3及其之前的版本，由于shiro在处理url时与spring仍然存在差异，依然存在身份校验绕过漏洞。2020年8月1
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值