CVE-2016-4437
KrytyczneStreszczenie
Apache Shiro w wersjach przed 1.2.5, gdy klucz szyfrujący nie został skonfigurowany dla funkcji 'zapamiętaj mnie', umożliwia zdalnym atakującym wykonanie dowolnego kodu lub ominięcie zamierzonych ograniczeń dostępu poprzez nieokreślony parametr żądania.
Ocena ryzyka
Organizacja może być narażona na zdalne ataki, które mogą prowadzić do nieautoryzowanego dostępu do systemów lub danych. Wykonanie dowolnego kodu przez atakującego może skutkować poważnymi konsekwencjami bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Apache Shiro do wersji 1.2.5 lub nowszej oraz skonfigurowanie klucza szyfrującego dla funkcji 'zapamiętaj mnie' w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
Apache Shiro before 1.2.5, when a cipher key has not been configured for the "remember me" feature, allows remote attackers to execute arbitrary code or bypass intended access restrictions via an unspecified request parameter.