CVE-2026-23903
Beschreibung
Authentifizierungsumgehung durch alternativer Name Sicherheitslücke in Apache Shiro. Dieses Problem betrifft Apache Shiro: vor 2.0.7. Benutzern wird empfohlen, auf Version 2.0.7 zu aktualisieren, wodurch das Problem behoben wird. Das Problem betrifft nur statische Dateien. Wenn statische Dateien von einem Fall-insensitiven Dateisystem, wie Standard-MacOS-Setup, bereitgestellt werden, können statische Dateien durch Variieren des Falls des Dateinamens in der Anforderung aufgerufen werden. Wenn nur Kleinbuchstabenfilter (Common Default) in Shiro vorhanden sind, können sie auf diese Weise umgangen werden. Shiro 2.1.0 und höher hat neue Parameter, um dieses Problem zu beheben shiro.ini: filterChainResolver.caseInsensitive = true application.properties: shiro.caseInsensitive = true Shiro 3.0.0 und später macht dies in shiro.ini-basierten Konfigurationen standardmäßig. Shiro 3.0.1 und höher macht dies in allen Konfigurationen standardmäßig, einschließlich programmatic und Spring / Spring Boot.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 2.0.7.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation shiro.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.