PT-2021-21721 · Apache · Apache Shenyu

伍 雄Loading · Publicado 2021-11-16 · Atualizado 2024-02-28 · CVE-2021-37580

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache ShenYu, versões 2.3.0 a 2.4.0

Descrição

Foi identificada uma falha no Apache ShenYu Admin, na qual o uso incorreto de JWT no ShenyuAdminBootstrap permite que um invasor contorne a autenticação.

Recomendações

Para as versões 2.3.0 e 2.4.0, atualize para uma versão que corrija o problema de contorno da autenticação.

Como solução temporária, considere restringir o acesso ao componente ShenyuAdminBootstrap até que um patch esteja disponível.

Evite usar o mecanismo de autenticação JWT nas versões afetadas do Apache ShenYu até que o problema seja resolvido.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2021-37580

GHSA-VPFP-5GWQ-G533

Produtos afetados

Apache Shenyu

Referências · 19

• 🔥 https://github.com/fengwenhua/CVE-2021-37580 · Exploit
• 🔥 https://github.com/Liang2580/CVE-2021-37580 · Exploit
• 🔥 https://github.com/rabbitsafe/CVE-2021-37580 · Exploit
• 🔥 https://github.com/ZororoZ/CVE-2021-37580 · Exploit
• https://github.com/apache/shenyu/releases/tag/v2.4.1 · Nota
• https://github.com/apache/shenyu/commit/f78adb26926ba53b4ec5c21f2cf7e931461d601d · Nota
• https://github.com/apache/shenyu · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-37580 · Nota de Segurança
• https://t.me/defcon_news/90294 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/11/16/1 · Nota
• https://osv.dev/vulnerability/CVE-2021-37580 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vpfp-5gwq-g533 · Aviso do Fabricante
• https://lists.apache.org/thread/o15j25qwtpcw62k48xw1tnv48skh3zgb · Aviso do Fabricante
• https://t.me/rnetsec/16053 · Publicação no Telegram
• https://t.me/ckure/10180 · Publicação no Telegram