一 漏洞概述

Apache Shiro是一个强大且易用的Java安全框架，通过它可以执行身份验证、授权、密码和会话管理。使用Shiro的易用API，您可以快速、轻松地保护任何应用程序——从最小的移动应用程序到最大的WEB和企业应用程序。

2020年8月18日，Apache Shiro官方发布安全通告 Apache Shiro身份验证绕过漏洞（CVE-2020-13933），经过分析，攻击者可以通过构造特殊的HTTP请求实现身份验证绕过。鉴于该漏洞影响较大，建议客户尽快升级到最新版本。

二 影响版本

Apache Shiro<1.6.0

三 复现过程

无

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字 “Apache Shiro” 进行搜索，共得到 173,900,909 条 IP 历史记录，集中分布在美国、德国和中国。

五 修复建议

更新至最新版本：

http://shiro.apache.org/download.html

六 时间线

官方发布漏洞通告时间：2020年8月18日

知道创宇发布漏洞情报时间：2020年8月24日

七 相关链接

1.https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13933

2.https://shiro.apache.org/security-reports.html

ZoomEye 网络空间搜索引擎：

https://www.zoomeye.org/searchResult/report?q=Apache%20Shiro