Apache Shiro 是一个强大且易用的 Java 安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API，您可以快速、轻松地获得任何应用程序，从最小的移动应用程序到最大的网络和企业应用程序。

白帽汇安全研究院监测发现 Shiro 发布了验证绕过漏洞的风险通告，该漏洞编号为 CVE-2020-17510 ，漏洞等级：高危，漏洞评分：7.5。

在使用 Apache Shiro 与 Spring 时，远程攻击者可以发送特制的 HTTP 请求，绕过身份验证过程并获得对应用程序的未授权访问。

CVE 编号

CVE-2020-17510

影响范围

• Apache Shiro < 1.7.0

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="Apache-Shiro"）共有 11,778 个相关服务对外开放。中国大陆使用数量最多，共有 10,193 个；中国香港第二，共有 471 个；美国第三，共有 405 个；新加坡第四，共有 122 个；南非第五，共有 108 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区浙江使用数量最多，共有 2,061 个；北京第二，共有 961 个；广东第三，共有 417 个，山东第四，共有 280 个；上海第五，共有 202 个。

漏洞环境——Vulfocus

目前 Vulfocus 已经集成shiro相关的漏洞环境 ，可通过： docker pull vulfocus/shiro-cve_2020_1957、docker pull vulfocus/shiro-cve_2020_11989、docker pull vulfocus/shiro-cve_2016_4437进行拉取运行，也可通过 http://vulfocus.fofa.so/ 进行测试。

修复建议

1. 目前官方已发布漏洞修复版本，更新 Apache Shiro >= 1.7.0。下载链接：https://shiro.apache.org/download.html

参考

[1] https://www.mail-archive.com/user@shiro.apache.org/msg05870.html