Apache Shiro vulnerable a una solicitud HTTP especialmente diseñada que causa una omisión de autenticación

La gravedad de este bypass de autenticación radica en su potencial para permitir a atacantes no autenticados acceder a funciones y datos sensibles dentro de la aplicación. Un atacante podría, por ejemplo, obtener acceso a cuentas de usuario, modificar datos críticos o incluso ejecutar código malicioso con los privilegios de un usuario autenticado. La combinación de Apache Shiro y Spring Boot, común en muchas aplicaciones empresariales, amplía significativamente el alcance del impacto. Esta vulnerabilidad se asemeja a otros bypass de autenticación que han permitido el acceso no autorizado a sistemas críticos, lo que subraya la necesidad de una corrección inmediata. El riesgo es especialmente alto en entornos donde la autenticación es un componente fundamental de la seguridad.

Organizations using Apache Shiro for authentication and authorization within Spring Boot applications are at significant risk. This includes businesses relying on web applications with sensitive data, particularly those using older Shiro versions without robust security practices. Shared hosting environments where multiple applications share the same Shiro instance are also at increased risk.

• java / server:

find / -name "shiro-core-*.jar" -print0 | xargs -0 grep -i "org.apache.shiro.spring.SpringShiroLifecycleProcessor"

• generic web:

curl -I https://your-application.com/ | grep Server

• java / application: Review application code for usage of org.apache.shiro.spring.SpringShiroLifecycleProcessor and ensure Shiro version is >= 1.8.0.

1. 2021-09-20Disclosure

   disclosure

2. 2021-09-20Patch

   patch

1. Reservado2021-09-16
2. Publicada2021-09-20
3. Modificada2024-02-19
4. EPSS actualizado2026-04-02

La mitigación principal para el CVE-2021-41303 es actualizar Apache Shiro a la versión 1.8.0 o superior. Si la actualización inmediata no es posible debido a problemas de compatibilidad, considere implementar medidas de seguridad adicionales como la restricción de acceso a recursos sensibles y la revisión exhaustiva de la configuración de autenticación. En algunos casos, se pueden aplicar reglas en un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que intenten explotar la vulnerabilidad. Es crucial monitorear los registros de la aplicación en busca de patrones de acceso inusuales que puedan indicar un intento de explotación. Después de la actualización, confirme la corrección revisando los registros de auditoría y realizando pruebas de penetración.