【缝隙公告】Apache ShenYu身份验证绕过缝隙 (CVE-2021-37580)
颁布功夫 2021-11-190x00 缝隙概述
CVE ID | CVE-2021-37580 | 时 间 | 2021-11-16 |
类 型 | 身份验证绕过 | 等 级 | 严沉 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 可用性 | 高 |
用户交互 | 无 | 所需权限 | 无 |
PoC/EXP | 在野利用 |
0x01 缝隙详情
Apache ShenYu（原名 Soul）是一个异步的、跨说话的、多和谈的高机能响应式API 网关，并可利用于所有微服务场景。
2021 年 11 月 16日，Apache颁布安全布告，公开了Apache ShenYu中的一个身份验证绕过缝隙（CVE-2021-37580），该缝隙的CVSS评分为9.8。由于ShenyuAdminBootstrap中JWT的谬误使用，导致攻击者能够绕过身份验证，直接进入指标系统后盾。
影响领域
Apache ShenYu 2.3.0
Apache ShenYu 2.4.0
0x02 措置建议
目前此缝隙已经建复，建议实时升级更新到Apache ShenYu 2.4.1版本。
下载链接：
https://shenyu.apache.org/zh/download/
0x03 参考链接
https://lists.apache.org/thread/o15j25qwtpcw62k48xw1tnv48skh3zgb
https://www.openwall.com/lists/oss-security/2021/11/16/1
https://nvd.nist.gov/vuln/detail/CVE-2021-37580
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-11-19 | 初次颁布 |
0x05 关于宝运莱官方网站
宝运莱官方网站简介
宝运莱官方网站公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内最具实力的信息安全产品和安全治理平台、安全服务与解决规划的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统；并在华北、华东、西南和华南布局四大研发中心，别离为北京研发总部、上海研发中心、成都研发中心和昭通研发中心。
多年来，宝运莱官方网站致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于宝运莱官方网站
宝运莱官方网站安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号