Apache Shiro <1.11.0 存在身份验证绕过漏洞-低调大师

Apache Shiro <1.11.0 存在身份验证绕过漏洞

2023-01-14 815

漏洞描述

Apache Shiro 是一个可执行身份验证、授权、加密和会话管理的 Java 安全框架。

由于 1.11.0 及之前版本的 Shiro 只兼容 Spring 的“ant-style”路径匹配模式（pattern matching），且 2.6 及之后版本的 Spring Boot 将 Spring MVC 处理请求的路径匹配模式从 AntPathMatcher 更改为了 PathPatternParser，当 1.11.0 及之前版本的 Apache Shiro 和 2.6 及之后版本的 Spring Boot 使用不同的路径匹配模式时，攻击者通过特制的 HTTP 请求绕过 Shiro 的身份验证。

开发者可通过修改 Spring boot 的路径匹配模式为“AntPathMatcher”缓解此漏洞：

spring.mvc.pathmatch.matching-strategy = ant_path_matcher

漏洞名称	Apache Shiro <1.11.0 存在身份验证绕过漏洞
漏洞类型	解释冲突
发现时间	2023-01-14
漏洞影响广度	一般
MPS编号	MPS-2023-0169
CVE编号	CVE-2023-22602
CNVD编号	-

影响范围

org.apache.shiro:shiro-web@[1.0.0-incubating, 1.11.0)

修复方案

升级org.apache.shiro:shiro-web到 1.11.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-0169

https://nvd.nist.gov/vuln/detail/CVE-2023-22602

https://shiro.apache.org/blog/2023/01/13/apache-shiro-1110-released.html

https://issues.apache.org/jira/browse/SHIRO-899

https://github.com/apache/shiro/commit/4edaf476da4539127de81ef6f301a45e53ca5338

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/225035

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Rust 1.66.1 发布

Rust 1.66.1 已发布，这是一个安全补丁更新：修复了 Cargo 在使用 SSH 克隆依赖项或注册表索引时不验证 SSH 主机密钥的问题。此安全漏洞的编号为CVE-2022-46176，所有包含 Cargo 的 Rust 1.66.1 之前的版本都容易受到攻击。 Rust 1.66.0 补丁文件：https://github.com/rust-lang/wg-security-response/tree/main/patches/CVE-2022-46176，用于定制工具链。如果还不能升级到 Rust 1.66.1，官方建议将 Cargo 配置为使用 git 命令而不是其内置的 git 支持。这样，所有 git 网络操作都将由 git 命令执行，不受此漏洞的影响。可以通过 Cargo 配置文件来实现： [net] git-fetch-with-cli = true Cargo 安全公告 (CVE-2022-46176) Rust 官方发布了Cargo 安全公告 (CVE-2022-46176)，Rust 安全响应工作组获悉，Cargo 在通过 SSH 克隆索引和依赖...

2023-01-15

481

作者：京东零售王磊前言作为一个后端研发人员，开发服务接口是我正常不过的工作了，这些接口不管是面向前端HTTP或者是供其他服务RPC远程调用的，都绕不开一个共同的话题就是“高可用”，接口开发往往看似简单，但保证高可用这块实现起来却不并没有想想的那么容易，接下来我们就看一下，一个高可用的接口是该考虑哪些内容，同时文中有不足的欢迎批评指正。到底啥是高可用用一句简单的话来概就是我们的系统具不具备应对和规避风险的能力。为啥做高可用 1. 程序都是有人开发的，在开发过程中会犯错从而导致线上事故的发生 2. 系统运行依赖各种运行环境：CPU、内存、硬盘、网络等等，而这些都有可能损坏 3. 业务拉新用户正在注册账号，结果注册接口挂了用户体验受影响 4. 双十一、618等大促大量用户下单，结果下单服务接口挂了GMV受影响等等 5. 其他未知因素等等总之为了应对这些不可控因素的发生，我们必须要做高可用高可用的关键点我们说过高可用的本质是系统是否具备应对和规避风险的能力，那么从这个角度出发来设计高可用接口的有以下几个关键因素：Dependence（依赖）、Probability（概率）、T...

2023-01-15

393

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。