Apache Shiro 1.6.0 發布!修復繞過授權高危漏洞

2021-01-17 開源中國

Apache Shiro 1.6.0 發布！修復繞過授權高危漏洞

Apache Shiro 是一個強大且易用的 Java 安全框架,執行身份驗證、授權、密碼和會話管理。使用 Shiro 的易於理解的 API,您可以快速、輕鬆地獲得任何應用程式,從最小的行動應用程式到最大的網絡和企業應用程式。

更新日誌

過濾器鏈解析不正確。

Base64 工具類#decode.異常

添加對全局過濾器支持

更新相關依賴

CVE-2020-13933 安全漏洞

CVE-2020-11989（2020.6 的安全漏洞）的修復補丁存在缺陷，由於 shiro 在處理 url 時與 spring 存在差異，處理身份驗證請求時出錯導致依然存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的 HTTP 請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。

Apache Shiro < 1.6.0 都會有此問題 ，請大家及時升級

<dependency>  <groupId>org.apache.shiro</groupId>  <artifactId>shiro-all</artifactId>  <version>1.6.0</version>  <type>pom</type></dependency>

相關焦點

  • Apache Shiro 1.6.0 發布！修復繞過授權高危漏洞，儘快升級
    Apache shiro 1.6.0 發布！修復繞過授權高危漏洞Apache Shiro 是一個強大且易用的 Java 安全框架,執行身份驗證、授權、密碼和會話管理。Base64 工具類#decode.異常添加對全局過濾器支持更新相關依賴CVE-2020-13933 安全漏洞CVE-2020-11989（2020.6 的安全漏洞）的修復補丁存在缺陷，由於 shiro 在處理 url 時與 spring 存在差異，處理身份驗證請求時出錯導致依然存在身份校驗繞過漏洞
  • 【網絡安全】關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。由於shiro在處理url時與spring存在差異，處理身份驗證請求時出錯導致存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的HTTP請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。
  • 「網絡安全」關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令，獲得目標伺服器的權限。一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。由於shiro在處理url時與spring存在差異，處理身份驗證請求時出錯導致存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的HTTP請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。
  • ApacheShiro身份驗證繞過高危漏洞的預警通報
    近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。
  • Apache shiro 權限繞過漏洞匯總
    No.1簡述前段時間太忙了，忙到很多東西，只是記錄了筆記，沒有成文，剛好最近階段又出來了shiro權限繞過漏洞，因此本文將這三個權限繞過的洞進行對比，他們的編號分別是 CVE-2020-1957、CVE-2020-11989、CVE-2020-13933 。
  • 關於CVE-2020-11989 Apache Shiro身份驗證繞過漏洞通告
    01風險概述在Apache Shiro 1.5.3之前的版本，將Apache Shiro與Spring動態控制器一起使用時，特製請求可能會導致身份驗證繞過02影響範圍Apache Shiro 低於1.5.3版本03處置措施
  • Apache Shiro反序列化漏洞及修復
    Apache Shiro是一個強大且易用的Java安全框架，被用來執行身份驗證、授權、密碼和會話管理。我手頭項目的一個管理後臺，開發時候為了快速上線，選了若依開源管理系統，基於它來開發。確實，基於開源系統開發很方便，但有些問題還是不能避免的，像下邊這個漏洞。
  • apache相關漏洞
    影響範圍• 6.0.0 <= Apache SkyWalking <= 6.6.0• 7.0.0修復建議官方發布的最新版本已經修復了此漏洞，請受影響的用戶下載最新版本>Apache Guacamole 已在1.2.0版本中修復此漏洞，建議受影響用戶將Guacamole升級到安全版本。
  • 雲安全日報200819：Apache發現重要漏洞 可竊取信息 控制系統 需要儘快升級
    https://lists.apache.org/thread.html/r539f87706094e79c5da0826030384373f0041068936912876856835f%40%3Cdev.shiro.apache.org%3E信息洩露漏洞（CVE-2020-13933）Apahce Shiro 由於處理身份驗證請求時出錯 存在 權限繞過漏洞
  • Apache Shiro 1.7.0 發布,支持 HTTP 嚴格傳輸安全 HSTS
    Shiro 1.7.0 發布，此版本包括自 1.6.0 版本以來解決的 7 個問題，現在可以從 maven 中央倉庫下載使用。
  • Apache Shiro 1.7.0 發布
    此版本解決包括自 1.6.0 版本以來解決的 7 個問題，值得注意的是：默認情況下禁用 session 路徑重寫。添加系統屬性以啟用反斜槓路徑限制。DeleteMe cookie 使用定義 sameSite。Spring shiro 添加 cookiesamesite 的配置選項。
  • 學生會私房菜「202008011期」-Apache Shiro 1.2.4反序列化漏洞
    本期文檔內容為：《Apache Shiro 1.2.4反序列化漏洞》作者介紹：Chow一名來自網絡工程專業的安全愛好者，目前在國科學習安全課程，同時也在國科安全團體進行安全的實戰練習，本次分享的內容是CVE-2016
  • Apache Cocoon高危漏洞風險提示
    漏洞公告2020年9月，安恆應急響應中心監測發現在2020年9月11日Apache Cocoon官方更新發布了Cocoon2.1.13版本，該版本修復Cocoon2.1.12及之前的版本中存在的XML外部實體注入漏洞，漏洞對應CVE編號：CVE-2020-11991。
  • 關於Apache Spark存在遠程代碼執行高危漏洞的預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）發布Apache Spark遠程代碼執行漏洞。攻擊者利用該漏洞，可在未授權情況下遠程執行代碼。該漏洞編號：CVE-2020-9480，安全級別為「高危」。01漏洞情況Apache Spark 是專為大規模數據處理而設計的快速通用計算引擎，是一種與Hadoop 相似的開源集群計算環境，在Scala 語言中實現，並將Scala作為其應用程式框架。它啟用了內存分布數據集，可提供交互式查詢、優化迭代工作負載。
  • Apache Dubbo反序列化漏洞及補丁繞過(哨兵雲支持檢測)
    近日，默安科技應急響應中心發現Apache Dubbo發布安全公告，披露Provider默認反序列化導致的遠程代碼執行漏洞（CVE-2020-1948），攻擊者可以發送帶有無法識別的服務名或方法名及某些惡意參數負載的RPC請求，當惡意參數被反序列化時將導致代碼執行。
  • Apache DolphinScheduler高危漏洞
    9月11日，綠盟科技監測到Apache軟體基金會發布安全公告，修復了ApacheDolphinScheduler權限覆蓋漏洞（CVE-2020-13922）與Apache DolphinScheduler遠程執行代碼漏洞（CVE-2020-11974）。
  • 騰訊安全玄武實驗室提交Apache Dubbo高危漏洞,官方已發布修復版本
    來源：經濟日報-中國經濟網6月23號，開源框架Apache Dubbo披露了一項默認反序列化遠程代碼執行漏洞（CVE-2020-1948）和相應的修複方案。該漏洞由騰訊安全玄武實驗室研究員於去年11月首次提交。
  • 瑞星發布緊急安全警報:Struts 2再爆高危遠程漏洞
    瑞星發布緊急安全警報：Struts 2再爆高危遠程漏洞 2017-03-07    2017年3月7日，瑞星安全研究院對外發布緊急安全警報，Apache Struts 2被曝存在高危遠程命令執行漏洞，漏洞編號為S2-045，CVE編號CVE-2017-5638。
  • 「預警通報」關於Apache Flink存在高危漏洞的預警通報
    近日，Apache官方發布Apache Flink任意文件上傳（CVE-2020-17518）和任意文件讀取（CVE-2020-17519）兩個高危漏洞。利用上述漏洞，攻擊者可進行目錄穿越，讀取任意文件或將文件上傳至任意位置。
  • 關於ApacheSolrConfigSetAPI上傳功能高危漏洞的預警通報
    近日，奇安信CERT監測到Apache Solr Configset Api存在上傳功能存在高危漏洞。攻擊者可利用該漏洞執行惡意代碼，獲取到伺服器權限。現將漏洞詳情通報如下：一、漏洞情況Solr是Apache Lucene項目的開源企業搜索平臺，其主要功能包括全文檢索、命中標示、分面搜索、動態聚類、資料庫集成，以及富文本的處理。Solr是高度可擴展的，並提供了分布式搜索和索引複製，Solr是目前最流行的企業級搜尋引擎。