CVE-2020-13933 | Apache Shiro身份验证绕过缝隙公告

颁布功夫 2020-08-18

0x00 缝隙概述



CVE   ID

CVE-2020-13933

时    间

2020-08-18

类   型



等    级

高危

远程利用

是

影响领域

Apache Shiro < 1.6.0



0x01 缝隙详情


宝运莱·(中国区)最新官方网站



2020年6月22日 ，Apache官方颁布布告 ，建复了一个Apache Shiro身份验证绕过缝隙（CVE-2020-11989） ，攻击者可通过机关恶意要求利用该缝隙来绕过身份验证 ，并颁布1.5.3版本。但这个建复并不齐全 ，由于shiro在处置url时与spring依然存在差距 ，shiro最新版依然存在身份验证绕过缝隙。2020年8月17日Apache官方再次颁布布告 ，进一步建复Apache Shiro身份验证绕过缝隙（CVE-2020-13933） ，并颁布1.6.0版本。


0x02 措置建议


官方已颁布新版本 ，请升级到1.6.0版本 ，下载地址：

http://shiro.apache.org/download.html


0x03 有关新闻


https://www.tenable.com/cve/CVE-2020-13933


0x04 参考链接


https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E


0x05 功夫线


2020-08-17 Apache官方颁布布告

2020-08-18 VSRC颁布缝隙公告


宝运莱·(中国区)最新官方网站