Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-01896

Опубликовано: 13 янв. 2023
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость фреймворка Apache Shiro и фреймворка создания веб-приложений Spring Boot связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации с помощью специально сформированного HTTP-запроса

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
Apache Software Foundation
VMware Inc.

Наименование ПО

Debian GNU/Linux
Red Hat Integration Camel for Spring Boot
Shiro
Red Hat Fuse
Spring Boot

Версия ПО

10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
3.20.1 (Red Hat Integration Camel for Spring Boot)
до 1.11.0 (Shiro)
7.12 (Red Hat Fuse)
2.6.0+ (Spring Boot)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций
Для Apache Shiro:
https://lists.apache.org/thread/dzj0k2smpzzgj6g666hrbrgsrlf9yhkl
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-22602
http://access.redhat.com/errata/RHSA-2023:2100
https://access.redhat.com/errata/RHSA-2023:3954
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-22602

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 42%
0.00204
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 3 лет назад

When using Apache Shiro before 1.11.0 together with Spring Boot 2.6+, a specially crafted HTTP request may cause an authentication bypass. The authentication bypass occurs when Shiro and Spring Boot are using different pattern-matching techniques. Both Shiro and Spring Boot < 2.6 default to Ant style pattern matching. Mitigation: Update to Apache Shiro 1.11.0, or set the following Spring Boot configuration value: `spring.mvc.pathmatch.matching-strategy = ant_path_matcher`

CVSS3: 7.5
redhat
около 3 лет назад

When using Apache Shiro before 1.11.0 together with Spring Boot 2.6+, a specially crafted HTTP request may cause an authentication bypass. The authentication bypass occurs when Shiro and Spring Boot are using different pattern-matching techniques. Both Shiro and Spring Boot < 2.6 default to Ant style pattern matching. Mitigation: Update to Apache Shiro 1.11.0, or set the following Spring Boot configuration value: `spring.mvc.pathmatch.matching-strategy = ant_path_matcher`

CVSS3: 7.5
nvd
около 3 лет назад

When using Apache Shiro before 1.11.0 together with Spring Boot 2.6+, a specially crafted HTTP request may cause an authentication bypass. The authentication bypass occurs when Shiro and Spring Boot are using different pattern-matching techniques. Both Shiro and Spring Boot < 2.6 default to Ant style pattern matching. Mitigation: Update to Apache Shiro 1.11.0, or set the following Spring Boot configuration value: `spring.mvc.pathmatch.matching-strategy = ant_path_matcher`

CVSS3: 7.5
debian
около 3 лет назад

When using Apache Shiro before 1.11.0 together with Spring Boot 2.6+, ...

CVSS3: 7.5
github
около 3 лет назад

Apache Shiro Interpretation Conflict vulnerability

EPSS

Процентиль: 42%
0.00204
Низкий

7.5 High

CVSS3

7.8 High

CVSS2