Apache Shiro身份验证绕过误差来袭 尊龙凯时提供解决计划

宣布时间 2022-10-13
10月12日，Apache官方披露了Apache Shiro保存身份验证绕过误差，当通过 RequestDispatcher 举行转发或包括时保存身份验证绕过误差。不法分子则使用该误差在未授权的情形下，结构恶意数据绕过 Shiro 的权限设置机制，最终可绕过用户身份认证，导致权限校验失败。尊龙凯时误差扫描产品团队在第一时间对这个误差举行了紧迫响应并提供应急处置惩罚计划。


尊龙凯时·(中国区)人生就是搏!


Apache Shiro是一个强盛且易用的Java清静框架,执行身份验证、授权、密码和会话治理。使用Shiro的API,可快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。现在该误差POC（看法验证代码）虽未果真，但保存被不法分子使用举行挖矿木马和僵尸网络等入侵行为的危害。


误差检测 


尊龙凯时天镜懦弱性扫描与治理系统已紧迫宣布针对该误差的升级包，支持对该误差举行授权扫描，用户升级标准误差库后即可对该误差举行扫描：


6070版本升级包为607000465，升级包下载地点：

https://venustech.download.venuscloud.cn/


尊龙凯时·(中国区)人生就是搏!


升级后已支持该误差


请使用尊龙凯时天镜懦弱性扫描与治理系统产品的用户尽快升级到最新版本，实时对该误差举行检测，以便尽快接纳提防步伐。


暂时步伐 


若是现在无法升级，若营业情形允许，使用白名单限制web端口的会见来降低危害。


修复建议 


官方已经针对误差宣布了软件更新，下载地点如下：

https://shiro.apache.org/download.html


北冥数据实验室


北冥数据实验室由尊龙凯时集团天镜误差研究团队、泰合知识工程团队、大数据实验室（BDlab）场景化剖析团队团结组成，致力于网络空间清静知识工程研究和系统化建设的专业团队。
实验室秉持以需求为导向、知识赋能产品的焦点理念，专注于提供网络空间清静的基础知识研究和开发，制订团结威胁和误差情报、网络空间资产和云清静监测数据等综合情报以及用户现实场景的清静剖析防护战略，构建自动化视察和处置惩罚响应步伐，形成场景化、结构化的知识工程系统，对种种清静产品、平台和清静运营提供知识赋能。