Apache Shiro <1.11.0 存在身份验证绕过漏洞

漏洞描述

Apache Shiro 是一个可执行身份验证、授权、加密和会话管理的 Java 安全框架。

由于 1.11.0 及之前版本的 Shiro 只兼容 Spring 的“ant-style”路径匹配模式（pattern matching），且 2.6 及之后版本的 Spring Boot 将 Spring MVC 处理请求的路径匹配模式从 AntPathMatcher 更改为了 PathPatternParser，当 1.11.0 及之前版本的 Apache Shiro 和 2.6 及之后版本的 Spring Boot 使用不同的路径匹配模式时，攻击者通过特制的 HTTP 请求绕过 Shiro 的身份验证。

开发者可通过修改 Spring boot 的路径匹配模式为“AntPathMatcher”缓解此漏洞：

spring.mvc.pathmatch.matching-strategy = ant_path_matcher

漏洞名称	Apache Shiro <1.11.0 存在身份验证绕过漏洞
漏洞类型	解释冲突
发现时间	2023-01-14
漏洞影响广度	一般
MPS编号	MPS-2023-0169
CVE编号	CVE-2023-22602
CNVD编号	-

影响范围

org.apache.shiro:shiro-web@[1.0.0-incubating, 1.11.0)

修复方案

升级org.apache.shiro:shiro-web到 1.11.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-0169

https://nvd.nist.gov/vuln/detail/CVE-2023-22602

https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

https://issues.apache.org/jira/browse/SHIRO-899

https://github.com/apache/shiro/commit/4edaf476da4539127de81ef6f301a45e53ca5338

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc