Apache shiro安全漏洞(CVE-2020-13933)分析

Apache shiro安全漏洞(CVE-2020-13933)分析
2020-09-04 11:14:48 Author: xz.aliyun.com(查看原文) 阅读量:283 收藏

Apache Shiro的CVE-2020-11989修补补丁依旧存在缺陷，由于shiro和spring在处理url中仍然存在差别，通过构造特殊的HTTP请求，可以再次绕过授权，访问未授权的信息。
影响范围
Apache Shiro < 1.6.0
Spring 框架中只使用 Shiro 鉴权
漏洞复现
配置如下

@Bean
    ShiroFilterFactoryBean shiroFilterFactoryBean(){
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        bean.setSecurityManager(securityManager());
        bean.setLoginUrl("/login");
        bean.setSuccessUrl("/index");
        bean.setUnauthorizedUrl("/unauthorizedurl");
        Map<String, String> map = new LinkedHashMap<>();
        map.put("/doLogin/", "anon");
        map.put("/admin/*", "authc");
        bean.setFilterChainDefinitionMap(map);
        return  bean;
    }

@GetMapping("/admin/{name}")
    public String admin(@PathVariable String name) {
        return "admin page";
    }
    @GetMapping("/login")
    public String  login() {
        return "please login!";
    }