ApacheShiro身份驗證繞過高危漏洞的預警通報

2020-12-04 寧夏網警巡查執法

近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。

一、漏洞情況

Apache Shiro 是一個功能強大且易於使用的Java安全框架，具有身份驗證、授權、加密和會話管理等功能。通過使用Apache Shiro的API，可輕鬆快速地保護任何應用程式。Apache Shiro中存在一個身份驗證繞過高危漏洞，當Apache Shiro與Spring Dynamic Controllers一起使用時，遠程攻擊者可通過構造惡意請求包進行利用，成功利用此漏洞可繞過身份驗證。

Apache Dubbo是一個分布式框架，致力於提供高性能透明化的RPC遠程服務調用方案，以及SOA服務治理方案。Apache Dubbo在實際應用場景中主要負責解決分布式的相關需求。Apache Dubbo中存在一個反序列化高危漏洞，遠程攻擊者可通過發送帶有無法識別的服務、方法名稱或帶有惡意參數的RPC請求對此漏洞進行利用，成功利用可造成惡意代碼執行。

二、影響範圍

Apache Dubbo反序列化高危漏洞可影響：Apache Shiro <= 1.5.2、Apache SkyWalking = 7.0.0版本產品；

Apache Dubbo反序列化高危漏洞可影響：2.7.0 <= Apache Dubbo <= 2.7.6、2.6.0 <= Apache Dubbo <= 2.6.7、Apache Dubbo 全部 2.5.x 版本（不再被官方團隊支持）。

三、處置建議

Apache官方已發布更新予以修復漏洞，請廣大用戶立即參考附件參考連結修復漏洞。

附件：參考連結：https://github.com/apache/shiro/releases；

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7。

相關焦點

  • 「預警通報」關於Microsoft產品存在多個高危漏洞的預警通報
    利用上述漏洞，攻擊者可利用漏洞進行欺騙，繞過安全功能限制，獲取敏感信息，提升權限，執行遠程代碼或發起拒絕服務攻擊等。現將部分漏洞通報如下：01漏洞情況（一）Windows Network File System 遠程代碼執行高危漏洞（CVE-2020-17051）：NFS是一種文件系統協議，用於跨網絡上多個作業系統共享文件。
  • 【網絡安全】關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。由於shiro在處理url時與spring存在差異，處理身份驗證請求時出錯導致存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的HTTP請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。
  • 「網絡安全」關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令，獲得目標伺服器的權限。一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。由於shiro在處理url時與spring存在差異，處理身份驗證請求時出錯導致存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的HTTP請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。
  • 「預警信息」關於VMwarevCenter任意文件讀取高危漏洞的預警通報
    近日，我中心技術支持單位通報：VMware vCenter特定版本存在任意文件讀取高危漏洞，攻擊者可在目標伺服器上讀取任意文件。一、漏洞情況VMware vCenter 伺服器是一種高級伺服器管理軟體，提供一個用於控制 VMware vSphere 環境的集中式平臺，幫助用戶獲取集中式可見性、簡單高效的規模化管理，從而在整個混合雲中自動部署和交付虛擬基礎架構。
  • 「預警通報」關於Microsoft多個高危漏洞的預警通報
    一、漏洞情況（一）Microsoft SharePoint遠程代碼執行高危漏洞（CVE-2020-17118、CVE-2020-17121）：SharePoint中存在一個遠程代碼執行高危漏洞，經過身份驗證的攻擊者通過發送特製請求包，可在SharePoint Web應用中執行任意.NET代碼。
  • 修復繞過授權高危漏洞
    修復繞過授權高危漏洞Apache Shiro 是一個強大且易用的 Java 安全框架,執行身份驗證、授權、密碼和會話管理。使用 Shiro 的易於理解的 API,您可以快速、輕鬆地獲得任何應用程式,從最小的行動應用程式到最大的網絡和企業應用程式。更新日誌 過濾器鏈解析不正確。
  • 關於WebLogic反序列化高危漏洞的緊急預警通報
    近日，WebLogic官方發布WebLogic反序列化漏洞的緊急預警通告，利用該漏洞可造成遠程代碼執行並直接控制Weblogic伺服器，危害極大。該漏洞編號為：CVE-2019-2890，安全級別為「高危」。
  • 修復繞過授權高危漏洞，儘快升級
    修復繞過授權高危漏洞Apache Shiro 是一個強大且易用的 Java 安全框架,執行身份驗證、授權、密碼和會話管理。使用 Shiro 的易於理解的 API,您可以快速、輕鬆地獲得任何應用程式,從最小的行動應用程式到最大的網絡和企業應用程式。
  • 「預警通報」關於Microsoft Exchange、OpenSSL等高危漏洞的預警通報
    近日，微軟發布Microsoft Exchange 遠程代碼執行漏洞，經過身份認證的攻擊者可利用此漏洞以SYSTEM用戶權限在目標系統上執行任意代碼。該漏洞編號：CVE-2020-17144，安全級別為「高危」。
  • 【預警信息】關於ApacheSolrConfigSetAPI上傳功能高危漏洞的預警通報
    近日，奇安信CERT監測到Apache Solr Configset Api存在上傳功能存在高危漏洞。攻擊者可利用該漏洞執行惡意代碼，獲取到伺服器權限。現將漏洞詳情通報如下：一、漏洞情況Solr是Apache Lucene項目的開源企業搜索平臺，其主要功能包括全文檢索、命中標示、分面搜索、動態聚類、資料庫集成，以及富文本的處理。
  • 「預警信息」關於SaltStack多個高危漏洞的預警通報
    近日，奇安信CERT監測到國外安全團隊披露出了SaltStack框架存在三個安全漏洞：認證繞過高危漏洞（CVE-2020-25592）、命令注入高危漏洞（CVE-2020-16846）和邏輯高危漏洞（CVE-2020-17490）。
  • 關於ApacheSolrConfigSetAPI上傳功能高危漏洞的預警通報
    近日，奇安信CERT監測到Apache Solr Configset Api存在上傳功能存在高危漏洞。攻擊者可利用該漏洞執行惡意代碼，獲取到伺服器權限。現將漏洞詳情通報如下：一、漏洞情況Solr是Apache Lucene項目的開源企業搜索平臺，其主要功能包括全文檢索、命中標示、分面搜索、動態聚類、資料庫集成，以及富文本的處理。Solr是高度可擴展的，並提供了分布式搜索和索引複製，Solr是目前最流行的企業級搜尋引擎。
  • 關於VxWorks存在多個高危漏洞的緊急預警通報
    近日，Armis研究人員在 VxWorks 實時作業系統中發現6個高危漏洞可造成遠程代碼執行，漏洞編號分別為：CVE-2019-12256、CVE-2019-12255、CVE-2019-12260、CVE-2019-12261、CVE-2019-12263和CVE-2019-12257。
  • 雲安全日報210104:Debian InfluxDB資料庫發現身份驗證繞過漏洞...
    1月1日,Debian InfluxDB時序型資料庫發現身份驗證繞過漏洞，需要儘快升級。以下是漏洞詳情：漏洞詳情來源：https://www.debian.org/security/2021/dsa-4823CVE-2019-20933 CVSS評分: 9.8 嚴重InfluxDB是由InfluxData公司基於Go語言編寫開發的一個開源時序型資料庫。它著力於高性能地查詢與存儲時序型數據。
  • 「網絡安全」關於MicrosoftSMBv3遠程代碼執行高危漏洞的預警通報
    網絡與信息安全情況通報近日，安全研究員人員公開一份SMBGhost（代號：永恆之黑）漏洞的RCE代碼。該漏洞在2020年3月12日發布的Windows SMBv3 客戶端/伺服器遠程代碼執行漏洞的現實威脅上進一步升級，因該漏洞無需用戶驗證的特性，可能導致類似WannaCry攻擊蠕蟲式的傳播。漏洞編號：CVE-2020-0796，安全級別為：「高危」。
  • 雲安全日報200910:SAP廠商發現安全策略繞過高危漏洞,需要儘快升級
    根據安全公告顯示，SAP產品中發現了多個高危漏洞。其中一些允許攻擊者遠程執行任意代碼以及繞過安全策略，需要儘快升級。以下是漏洞詳情：漏洞詳情1.安全策略繞過高危漏洞（CVE-2020-6207） CVSS評分：10  危急SAP Solution Manager 是SAP公司一套集系統監控，SAP支持桌面，自助服務，ASAP實施等多個功能為一體的系統管理平臺。
  • 對兩個D-Link路由器身份驗證繞過漏洞的分析
    今年2月，D-Link發布了 針對兩個身份驗證繞過漏洞CVE-2020-8863 和 CVE-2020-8864這些漏洞存在於HNAP協議的處理中。https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10157我們將首先研究CVE-2020-8863，以熟悉HNAP的身份驗證方案。
  • 漏洞預警 | 微軟 CVE-2019-0708 高危漏洞
    /CVE-2019-0708https://blogs.technet.microsoft.com/msrc/2019/05/14/prevent-a-worm-by-updating-remote-desktop-services-cve-2019-0708/微軟對此次補丁的描述內容如下：遠程桌面協議（RDP）本身不易受攻擊，此漏洞是預身份驗證，不需要用戶交互
  • 虛擬銀行卡高危預警!僅需身份證+姓名信息即可開通
    雷鋒網消息，12月26日下午，紫豹科技「聽風」平臺——業務威脅情報監測系統發出關於某銀行威脅情報的高危預警。經情報人員分析確認，因業務技術邏輯漏洞，攻擊者可利用他人（以下稱受害人）身份證和姓名信息開通受害人名下銀行卡，經驗證，開通類型為Ⅱ類和Ⅲ類虛擬銀行卡。
  • 虛擬銀行卡高危預警! 僅需身份證+姓名信息即可開通
    圖片來源圖蟲：已授站長之家使用作者：又田12 月 26 日下午，紫豹科技「聽風」平臺——業務威脅情報監測系統發出關於某銀行威脅情報的高危預警。經情報人員分析確認，因業務技術邏輯漏洞，攻擊者可利用他人（以下稱受害人）身份證和姓名信息開通受害人名下銀行卡，經驗證，開通類型為Ⅱ類和Ⅲ類虛擬銀行卡。該類虛擬銀行卡主要用於綁定支付寶、微信以及其他金融產品，更嚴重的可能用來批量洗黑錢。