服务公告
Apache Shiro身份验证绕过漏洞（CVE-2020-11989）
2020-06-24
一、概要
近日华为云监测到Apache Shiro官方发布安全公告，披露在Apache Shiro < 1.5.3版本中，当与Spring动态控制器一起使用时存在身份绕过漏洞（CVE-2020-11989），攻击者通过发送特制请求可能会导致身份验证绕过。
华为云提醒使用Apache Shiro的用户及时安排自检并做好安全加固。
详情请参考链接：
https://shiro.apache.org/security-reports.html
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急）
三、漏洞影响范围
影响版本：
Apache Shiro < 1.5.3
安全版本：
Apache Shiro 1.5.3
四、漏洞处置
目前，官方已在新版本中修复了该漏洞，请受影响的用户升级到安全版本：
下载地址：https://github.com/apache/shiro/releases
注：修复漏洞前请将资料备份，并进行充分测试。
