Apache · Shiro
CVE-2016-4437
Apache Shiro Code Execution Vulnerability
Qué es
Apache Shiro before 1.2.5, when a cipher key has not been configured for the "remember me" feature, allows remote attackers to execute arbitrary code or bypass intended access restrictions via an unspecified request parameter.
CISA: Apache Shiro contains a vulnerability which may allow remote attackers to execute code or bypass intended access restrictions via an unspecified request parameter when a cipher key has not been configured for the "remember me" feature.
Qué hacer
Apply updates per vendor instructions.
Plazo para las agencias federales de EE. UU.: 3 de mayo de 2022
- Añadida a la lista de CISA
- 3 de noviembre de 2021
- Publicada
- 7 de junio de 2016
- Gravedad
- Crítica 9,8 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 93% entre el 0,2% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-284
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (7)
- http://rhn.redhat.com/errata/RHSA-2016-2035.html
- http://rhn.redhat.com/errata/RHSA-2016-2036.html
- https://lists.apache.org/thread.html/ef3a800c7d727a00e04b78e2f06c5cd8960f09ca28c9b69d94c3c4c4%40%3Cannounceme…
- http://packetstormsecurity.com/files/137310/Apache-Shiro-1.2.4-Information-Disclosure.html
- http://www.securityfocus.com/bid/91024
- http://www.securityfocus.com/archive/1/538570/100/0/threaded
- http://packetstormsecurity.com/files/157497/Apache-Shiro-1.2.4-Remote-Code-Execution.html
Más fallos explotados de Apache
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 8 oct 2026 | Command Injection | Struts | Alto 8,1 | 97% |
| 4 ago 2026 | Missing Encryption of Sensitive Data | Tomcat | Alto 7,5 | 99% |
| 16 abr 2026 | Improper Input Validation | ActiveMQ | Alto 8,8 | 98% |
| 1 may 2025 | Improper Escaping of Output | HTTP Server | Crítica 9,1 | >99,9% |
| 1 abr 2025 | Path Equivalence | Tomcat | Crítica 10,0 | 99,9% |
| 4 feb 2025 | Forced Browsing | OFBiz | Crítica 9,8 | >99,9% |
| 18 sept 2024 | Improper Access Control | HugeGraph-Server | Crítica 9,8 | 99,2% |
| 27 ago 2024 | Incorrect Authorization | OFBiz | Alto 8,1 | 99,4% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.