Когда кэширование аутентификации включено на DefaultLdapRealm, после того, как пользователь успешно вошел в систему один раз, последующие логины для этого пользователя преуспевают с любым паролем. Кэшированная аутентификация пропускает привязку LDAP, и AllowAllCredentialsMatcher, установленный по умолчанию в DefaultLdapRealm, принимает любые учетные данные, позволяя злоумышленнику, который знает действительное имя пользователя, аутентифицироваться как этот пользователь. Эта проблема затрагивает все версии Apache Shiro через 3.0.0, только при использовании DefaultLdapRealm (или JndiLdapRealm) с authenticationCachingEnabled, установленным на true, который не является стандартным.
Смягчение: Upgrade до версии 3.0.1 или более поздней, что устраняет проблему, больше не устанавливая AllowAllCredentialsMatcher по умолчанию. Кроме того, отключите кэширование аутентификации в области LDAP (это по умолчанию) или настройте сопоставитель учетных данных, такой как SimpleCredentialsMatcher, который проверяет учетные данные по кэшированной информации аутентификации.
Показать оригинальное описание (EN)
When authentication caching is enabled on DefaultLdapRealm, after a user logs in successfully once, subsequent logins for that user succeed with any password. A cached authentication skips the LDAP bind, and the AllowAllCredentialsMatcher installed by default in DefaultLdapRealm accepts any credentials, allowing an attacker who knows a valid username to authenticate as that user. This issue affects all Apache Shiro versions through 3.0.0, only when using DefaultLdapRealm (or JndiLdapRealm) with authenticationCachingEnabled set to true, which is not the default. Mitigation: Upgrade to version 3.0.1 or later, which fixes the issue by no longer installing AllowAllCredentialsMatcher by default. Alternatively, disable authentication caching on the LDAP realm (this is the default), or configure a credentials matcher, such as SimpleCredentialsMatcher, that verifies credentials against the cached authentication info.
Характеристики атаки
Последствия
Строка CVSS v4.0