CVE-2020-13933

漏洞名称

Apache Shiro 身份验证绕过漏洞复现CVE-2020-13933

利用条件

Apache Shiro < 1.6.0

漏洞原理

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。

之前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷，在1.5.3及其之前的版本，由于shiro在处理url时与spring仍然存在差异，依然存在身份校验绕过漏洞由于处理身份验证请求时出错，远程攻击者可以发送特制的HTTP请求，绕过身份验证过程并获得对应用程序的未授权访问。

漏洞利用

不触发身份验证，并绕过权限(通过%3b绕过）比如/admin/%3bxxx`，能够绕过认证：

image-20221227180537810

image-20221227180927380

修复建议

目前官方已发布漏洞修复版本，更新 Apache Shiro >= 1.6.0

参考文章

posted @   crayonxiaoxin  阅读(173)  评论(0)  编辑  收藏  举报
相关博文：
· CVE-2022-32532 Apache Shiro 身份认证绕过
· CVE-2020-1957
· Apache Shiro 身份验证绕过漏洞 (CVE-2020-1957)
· 【漏洞修复通知】修复Apache Shiro认证绕过漏洞
· Shiro 身份认证绕过漏洞 CVE-2022-32532
阅读排行：
· 无需6万激活码！GitHub神秘组织3小时极速复刻Manus，手把手教你使用OpenManus搭建本
· Manus爆火，是硬核还是营销？
· 终于写完轮子一部分：tcp代理 了，记录一下
· 别再用vector＜bool＞了！Google高级工程师：这可能是STL最大的设计失误
· 单元测试从入门到精通
点击右上角即可分享
微信分享提示