PT-2022-8600 · Apache · Apache Shiro

Publicado 2022-04-05 · Atualizado 2022-04-13 · CVE-2020-19229

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Jeesite versão 1.2.7

Descrição

O problema está relacionado ao uso de uma versão afetada do Apache Shiro, que contém uma vulnerabilidade de deserialização do Java. Essa vulnerabilidade pode ser explorada por um invasor para executar comandos arbitrários por meio do parâmetro rememberMe.

Recomendações

Para o Jeesite versão 1.2.7, considere atualizar o Apache Shiro para uma versão que não seja afetada pela vulnerabilidade de deserialização do Java. Como solução temporária, restrinja o acesso ao parâmetro rememberMe para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2020-19229

Produtos afetados

Apache Shiro

Referências · 5

• 🔥 https://github.com/thinkgem/jeesite/issues/490 · Exploit
• https://t.me/cvenotify/28469 · Publicação no Telegram
• https://t.me/cibsecurity/40174 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-19229 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-19229 · Nota de Segurança