■ 漏洞描述
Apache Shiro是一个强大且易用的Java安全框架,用于执行身份验证、授权、密码和会话管理。Apache Shiro cookie中的通过AES-128-CBC模式加密的rememberMe字段存在问题，容易受到Padding Oracle攻击。
攻击者可以使用有效的rememberMe cookie作为Padding Oracle攻击的前缀，然后构造rememberMe来执行Java反序列化攻击，最终导致远程代码执行。

 
■ 影响范围
Apache Shiro 1.2.5, 1.2.6, 1.3.0, 1.3.1, 1.3.2, 1.4.0-RC2, 1.4.0, 1.4.1版本

 
■ 漏洞检测
检测方法：查看版本。

 
■ 漏洞修复
目前此漏洞官方暂无补丁和缓解方案。

 
■ 临时修复
1、使用Waf进行拦截访问频次过多的ip。
2、修改shiro配置中的AES加密方法不为CBC模式。
3、禁用rememberMe功能
 
■ 漏洞详情
https://issues.apache.org/jira/browse/SHIRO-721
https://mp.weixin.qq.com/s/NxkISF3XRbIlJWxoOueOlg