【漏洞通告】 CVE-2022-40664 Apache Shiro 身份验证绕过漏洞

目录

0x01 声明：

0x02 简介：  

0x03 漏洞概述：

0x04 影响版本：

0x05 漏洞复现：（暂未公开利用方式）

0x06 临时措施

0x07 修复建议：

---

0x01 声明：

        仅供学习参考使用，请勿用作违法用途，否则后果自负。

0x02 简介：  

        Apache Shiro是一个强大且易用的Java安全框架，它具有身份验证、访问授权、数据加密、会话管理等功能。

0x03 漏洞概述：

        Apache官方披露了Apache Shiro存在身份验证绕过漏洞，当通过 RequestDispatcher 进行转发或包含时存在身份验证绕过漏洞。不法分子则利用该漏洞在未授权的情况下，构造恶意数据绕过 Shiro 的权限配置机制，最终可绕过用户身份认证，导致权限校验失败。

0x04 影响版本：

        Apache Shiro 版本 < 1.10.0

0x05 漏洞复现：（暂未公开利用方式）

        （暂未公开利用方式）

0x06 临时措施

        如果目前无法升级，若业务环境允许，使用白名单限制web端口的访问来降低风险。

0x07 修复建议：

        官方已经针对漏洞发布了软件更新，下载地址如下：

        https://shiro.apache.org/download.html