主题 : jeecmsv9.3版的shiro的反序列化漏洞,请尽快修复
级别: 解元
UID: 45406
积分:218 加为好友
威望: 1 精华: 0
主题:23 回复:140
注册时间:2013-03-26
在线时长:0.47
1#   发表于:2019-11-08 10:02:01  IP:223.179.*.*
在攻防演练中,攻击者利用 jeecmsv9.3版的shiro的反序列化漏洞成功取得了服务器的权限任意上传,因为这个漏洞我们也被通报了!

不要再问是哪个版本了,是jeecmsv9.3!jeecmsv9.3!jeecmsv9.3

我也百度了下,很多框架的开发者都是复制别人的代码,导致1.2.4版本以上shiro一样有反序列化漏洞!


请官方重视下!别只想着赚钱,重大漏洞要修复下!谢谢!!
级别: 版主
UID: 121385
积分:33436 加为好友
威望: 0 精华: 0
主题:0 回复:31548
注册时间:2018-03-20
在线时长:121.11
2#   发表于:2019-11-08 10:12:43  IP:117.69.*.*
http://xvqg.cn/azsy/48500.jhtml
您有试过有这个修复吗?
世间没有一种具有真正价值的东西,可以不经过艰苦辛勤劳动而能够得到的。
级别: 解元
UID: 45406
积分:218 加为好友
威望: 1 精华: 0
主题:23 回复:140
注册时间:2013-03-26
在线时长:0.47
3#   发表于:2019-11-08 11:00:37  IP:223.179.*.*
回复第2楼 v9.3版本的shiro已经是1.4.0了,你发这个帖子的版本是1.2.6的,很明显就是你们开发框架的时候出现的问题,麻烦提交给技术让尽快修复,而不是机械的回答应付人!!!!!!!!!!!!!!!!
级别: 版主
UID: 121385
积分:33436 加为好友
威望: 0 精华: 0
主题:0 回复:31548
注册时间:2018-03-20
在线时长:121.11
4#   发表于:2019-11-08 11:02:55  IP:117.69.*.*
那您可以发下您的漏洞扫描信息的原文件吗?
世间没有一种具有真正价值的东西,可以不经过艰苦辛勤劳动而能够得到的。
级别: 童生
UID: 132255
积分:13 加为好友
威望: 0 精华: 0
主题:1 回复:4
注册时间:2019-11-18
在线时长:0.09
5#   发表于:2019-11-18 17:16:16  IP:39.234.*.*
把web-inf\config\shiro-context.xml最底下rememberMe管理器中的cipherKey后面decode括号里的BASE64的码自己换一个生成一遍可能修复这个漏洞
级别: 版主
UID: 121385
积分:33436 加为好友
威望: 0 精华: 0
主题:0 回复:31548
注册时间:2018-03-20
在线时长:121.11
6#   发表于:2019-11-18 17:27:54  IP:117.141.*.*
回复第5楼
世间没有一种具有真正价值的东西,可以不经过艰苦辛勤劳动而能够得到的。
1 共1页