2023年1月17日，我中心收到一则Apache Shiro组件存在身份认证绕过漏洞的信息，漏洞编号：CVE-2023-22602，漏洞威胁等级：中危。

当Apache Shiro版本小于1.11.0且Spring Boot版本大于2.6时，一个特制的HTTP请求可能会导致绕过身份验证。该漏洞是由于Apache Shiro和Spring Boot使用不同的模式匹配技术导致，攻击者可利用该漏洞在未授权的情况下，构造恶意数据绕过Apache Shiro的权限配置机制，最终可绕过用户身份认证，导致权限校验失败。

影响范围：

目前受影响的Apache Shiro版本：Apache Shiro < 1.11.0

官方解决方案：

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://shiro.apache.org/download.html

信息中心建议受影响的部门及时下载对应版本的补丁进行安装修复，并做好二次核查。

若有疑问请联系信息中心。

信息中心

2023年1月17日