Podatności Apache Shiro

Apache Shiro w wersjach przed 1.3.2 pozwala atakującym na ominięcie zamierzonych filtrów serwletów i uzyskanie dostępu poprzez wykorzystanie nie-rootowej ścieżki kontekstu serwletu.

Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.

Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.

Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.

Gdy Apache Shiro jest używany z modułem integracji Jakarta EE, użytkownik o niskich uprawnieniach może spreparować żądanie HTTP, które powoduje, że serwer nawiązuje połączenie z adresem URL kontrolowanym przez atakującego i przesyła kontrolowane przez atakującego dane. Podatność dotyczy Apache Shiro w wersjach 2.x do 3.0.0 tylko we wdrożeniach korzystających z modułu integracji Jakarta EE. Aktualizacja do wersji 3.0.1 lub nowszej naprawia problem. Alternatywnie można ustawić właściwości systemowe org.apache.shiro.form-resubmit-host i org.apache.shiro.form-resubmit-port, aby ograniczyć host i port, do których Shiro będzie się łączyć podczas ponownego przesyłania formularza.

Moduł Jakarta EE w Apache Shiro (wersje od 2.0-alpha do 2.2.0 oraz 3.0.0-alpha-1) używa nagłówka HTTP Referer do przekierowania po zalogowaniu. Niewystarczająca walidacja tego kontrolowanego przez klienta nagłówka może pozwolić atakującemu na wpływanie na cel przekierowania.

Apache Shiro w wersjach od 2.0-alpha do 2.1.0 oraz 3.0.0-alpha-1, przy użyciu modułu shiro-jakarta-ee, zawiera podatności na Open Redirect i SSRF. Po zalogowaniu ciasteczko shiroSavedRequest nie było walidowane, co pozwala na przekierowanie do dowolnego URL i wykonanie żądania GET z serwera.

Domyślne konfiguracje Apache Shiro wysyłają wrażliwe ciasteczka (JSESSIONID i rememberMe) w sesjach HTTPS bez atrybutu 'Secure'. Dotyczy to wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. Problem został naprawiony w wersjach 2.1.1 i 3.0.0-alpha-2.

Domyślne konfiguracje Apache Shiro mają podatność na fiksację sesji. Dotyczy wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. W podatnych wersjach, gdy sesja już istnieje, nie jest unieważniana po pomyślnym logowaniu, ani nie jest generowana nowa sesja z nowym ID. Zalecana jest aktualizacja do wersji 2.1.1 lub 3.0.0-alpha-2.

Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.