CVE-2020-13933 | Apache Shiro身份验证绕过缝隙公告
颁布功夫 2020-08-180x00 缝隙概述
CVE ID | CVE-2020-13933 | 时 间 | 2020-08-18 |
类 型 | 等 级 | 高危 | |
远程利用 | 是 | 影响领域 | Apache Shiro < 1.6.0 |
0x01 缝隙详情
2020年6月22日，Apache官方颁布布告，建复了一个Apache Shiro身份验证绕过缝隙（CVE-2020-11989），攻击者可通过机关恶意要求利用该缝隙来绕过身份验证，并颁布1.5.3版本。但这个建复并不齐全，由于shiro在处置url时与spring依然存在差距，shiro最新版依然存在身份验证绕过缝隙。2020年8月17日Apache官方再次颁布布告，进一步建复Apache Shiro身份验证绕过缝隙（CVE-2020-13933），并颁布1.6.0版本。
0x02 措置建议
官方已颁布新版本，请升级到1.6.0版本，下载地址：
http://shiro.apache.org/download.html
0x03 有关新闻
https://www.tenable.com/cve/CVE-2020-13933
0x04 参考链接
https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E
0x05 功夫线
2020-08-17 Apache官方颁布布告
2020-08-18 VSRC颁布缝隙公告
京公网安备11010802024551号