Apache Shiro身份验证绕过漏洞来袭 抖圈为赌而生提供解决方案

宣布时间 2022-10-13
10月12日，Apache官方披露了Apache Shiro存在身份验证绕过漏洞，当通过 RequestDispatcher 进行转发或包罗时存在身份验证绕过漏洞。非法分子则利用该漏洞在未授权的情况下，结构恶意数据绕过 Shiro 的权限配置机制，最终可绕过用户身份认证，导致权限校验失败。抖圈为赌而生漏洞扫描产物团队在第一时间对这个漏洞进行了紧急响应并提供应急处置方案。


尊龙抖圈 - 为du而生


Apache Shiro是一个强大且易用的Java宁静框架,执行身份验证、授权、密码和会话管理。使用Shiro的API,可快速、轻松地获得任何应用法式,从最小的移动应用法式到最大的网络和企业应用法式。目前该漏洞POC（看法验证代码）虽未果然，但存在被非法分子利用进行挖矿木马和僵尸网络等入侵行为的风险。


漏洞检测 


抖圈为赌而生天镜脆弱性扫描与管理系统已紧急宣布针对该漏洞的升级包，支持对该漏洞进行授权扫描，用户升级尺度漏洞库后即可对该漏洞进行扫描：


6070版本升级包为607000465，升级包下载地址：

https://venustech.download.venuscloud.cn/


尊龙抖圈 - 为du而生


升级后已支持该漏洞


请使用抖圈为赌而生天镜脆弱性扫描与管理系统产物的用户尽快升级到最新版本，及时对该漏洞进行检测，以便尽快接纳防范措施。


临时措施 


如果目前无法升级，若业务环境允许，使用白名单限制web端口的访问来降低风险。


修复建议 


官方已经针对漏洞宣布了软件更新，下载地址如下：

https://shiro.apache.org/download.html


北冥数据实验室


北冥数据实验室由抖圈为赌而生集团天镜漏洞研究团队、泰合知识工程团队、大数据实验室（BDlab）场景化分析团队联合组成，致力于网络空间宁静知识工程研究和体系化建设的专业团队。
实验室秉持以需求为导向、知识赋能产物的核心理念，专注于提供网络空间宁静的基础知识研究和开发，制定结合威胁和漏洞情报、网络空间资产和云宁静监测数据等综合情报以及用户实际场景的宁静分析防护计谋，构建自动化视察和处置响应措施，形成场景化、结构化的知识工程体系，对种种宁静产物、平台和宁静运营提供知识赋能。