CVE-2026-23901
Açıklama
Apache Shiro'da Gözlemlenebilir Zamanlama Farklılığı zafiyeti bulunmaktadır. Bu sorun Apache Shiro'nun 1.* ve 2.0.7 öncesindeki 2.* sürümlerini etkilemektedir. Kullanıcıların, sorunu gideren 2.0.7 veya daha yeni bir sürüme yükseltmeleri önerilir. Shiro 2.0.7 öncesinde, mevcut olmayan kullanıcılar ile mevcut kullanıcılar için kod yolları yeterince farklıdır; bu durum, kaba kuvvet saldırısının yalnızca istekleri zamanlayarak, isteğin mevcut olmayan bir kullanıcı nedeniyle mi yoksa yanlış şifre nedeniyle mi başarısız olduğunu belirleyebilmesine olanak tanıyabilir. En olası saldırı vektörü yalnızca yerel bir saldırıdır. Shiro güvenlik modeli https://shiro.apache.org/security-model.html#username_enumeration adresinde bu konuyu ele almaktadır. Genellikle, kaba kuvvet saldırıları altyapı düzeyinde hafifletilebilir.
Nasıl düzeltilir
- apache shiro2.0.7 ya da sonraki bir sürüm
- org.apache.shiro:shiro-core2.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache shiro | v < 2.0.7 | 2.0.7 |
| org.apache.shiro:shiro-coreMaven | v < 2.1.0 | 2.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.