Apache · Shiro
CVE-2016-4437
Apache Shiro Code Execution Vulnerability
Что это
Apache Shiro before 1.2.5, when a cipher key has not been configured for the "remember me" feature, allows remote attackers to execute arbitrary code or bypass intended access restrictions via an unspecified request parameter.
CISA: Apache Shiro contains a vulnerability which may allow remote attackers to execute code or bypass intended access restrictions via an unspecified request parameter when a cipher key has not been configured for the "remember me" feature.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 3 мая 2022 г.
- Добавлена в список CISA
- 3 ноября 2021 г.
- Опубликована
- 7 июня 2016 г.
- Серьёзность
- Критическая 9,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 93% в верхних 0,2% всех известных уязвимостей
- Тип слабости
- CWE-284
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (7)
- http://rhn.redhat.com/errata/RHSA-2016-2035.html
- http://rhn.redhat.com/errata/RHSA-2016-2036.html
- https://lists.apache.org/thread.html/ef3a800c7d727a00e04b78e2f06c5cd8960f09ca28c9b69d94c3c4c4%40%3Cannounceme…
- http://packetstormsecurity.com/files/137310/Apache-Shiro-1.2.4-Information-Disclosure.html
- http://www.securityfocus.com/bid/91024
- http://www.securityfocus.com/archive/1/538570/100/0/threaded
- http://packetstormsecurity.com/files/157497/Apache-Shiro-1.2.4-Remote-Code-Execution.html
Другие эксплуатируемые уязвимости Apache
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 8 окт. 2026 г. | Command Injection | Struts | Высокий 8,1 | 97% |
| 4 авг. 2026 г. | Missing Encryption of Sensitive Data | Tomcat | Высокий 7,5 | 99% |
| 16 апр. 2026 г. | Improper Input Validation | ActiveMQ | Высокий 8,8 | 98% |
| 1 мая 2025 г. | Improper Escaping of Output | HTTP Server | Критическая 9,1 | >99,9% |
| 1 апр. 2025 г. | Path Equivalence | Tomcat | Критическая 10,0 | 99,9% |
| 4 февр. 2025 г. | Forced Browsing | OFBiz | Критическая 9,8 | >99,9% |
| 18 сент. 2024 г. | Improper Access Control | HugeGraph-Server | Критическая 9,8 | 99,2% |
| 27 авг. 2024 г. | Incorrect Authorization | OFBiz | Высокий 8,1 | 99,4% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.