【漏洞通告】Apache Shiro未授权访问漏洞（CVE-2020-17510）

深信服千里目安全实验室 · 公众号 · · 2020-11-23 15:59

正文

Apache Shiro存在一个未授权访问漏洞，因为shiro在与spring组合使用时，处理url的方式和spring存在差别，导致授权的绕过。 通过构造特殊的HTTP请求，可以访问未授权的信息。

漏洞名称 : Apache Shiro未授权访问漏洞（CVE-2020-17510）

威胁等级 : 中危

影响范围 : Apache Shiro < 1.7.0

漏洞类型 : 未授权访问

利用难度 : 未知

漏洞分析

1 Apache Shiro 组件介绍

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。内置了可以连接大量安全数据源（又名目录）的Realm，如LDAP、关系数据库（JDBC）、类似INI的文本配置资源以及属性文件等。

2 漏洞描述

Apache Shiro存在一个未授权访问漏洞，因为shiro在与spring组合使用时，处理url的方式和spring存在差别，导致授权的绕过。通过构造特殊的HTTP请求，可以访问未授权的信息。

3 漏洞复现