CVE-2020-13933 | Apache Shiro身份验证绕过缝隙公告

颁布功夫 2020-08-18

0x00 缝隙概述



CVE   ID

CVE-2020-13933

时    间

2020-08-18

类   型



等    级

高危

远程利用

是

影响领域

Apache Shiro < 1.6.0



0x01 缝隙详情


OG东方厅·(中国大陆)



2020年6月22日，，Apache官方颁布布告，，修复了一个Apache Shiro身份验证绕过缝隙（CVE-2020-11989），，攻击者可通过机关恶意要求利用该缝隙来绕过身份验证，，并颁布1.5.3版本。。但这个修复并不齐全，，由于shiro在处置url时与spring依然存在差距，，shiro最新版依然存在身份验证绕过缝隙。。2020年8月17日Apache官方再次颁布布告，，进一步修复Apache Shiro身份验证绕过缝隙（CVE-2020-13933），，并颁布1.6.0版本。。


0x02 措置建议


官方已颁布新版本，，请升级到1.6.0版本，，下载地址：

http://shiro.apache.org/download.html


0x03 有关新闻


https://www.tenable.com/cve/CVE-2020-13933


0x04 参考链接


https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E


0x05 功夫线


2020-08-17 Apache官方颁布布告

2020-08-18 VSRC颁布缝隙公告


OG东方厅·(中国大陆)