Apache Shiro before 1.11.0, when using Apache Shiro with Spring Boot 2.6+, a specially crafted HTTP request may cause an authentication bypass. The authentication bypass occurs when Shiro and Spring Boot are using different pattern-matching techniques. Both Shiro and Spring Boot < 2.6 default to Ant style pattern matching.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When using Apache Shiro before 1.11.0 together with Spring Boot 2.6+, a specially crafted HTTP request may     cause an authentication bypass. The authentication bypass occurs when Shiro and Spring Boot are using     different pattern-matching techniques. Both Shiro and Spring Boot < 2.6 default to Ant style pattern     matching. Mitigation: Update to Apache Shiro 1.11.0, or set the following Spring Boot configuration value:
    `spring.mvc.pathmatch.matching-strategy = ant_path_matcher` (CVE-2023-22602)

Note that Nessus relies on the presence of the package as reported by the vendor.

1.11.0 より前の Apache Shiro では、Spring Boot 2.6+ と共に Apache Shiro を使用する場合、特別に細工された HTTP リクエストにより、認証バイパスが引き起こされる可能性があります。認証バイパスは、Shiro と Spring Boot が異なるパターンマッチング技術を使用している場合に発生します。Shiro と Spring Boot < 2.6 では、その両方が、デフォルトで Ant スタイルのパターンマッチングを使用しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.11.0 より前の Apache Shiro を Spring Boot 2.6+ とともに使用する場合、特別に細工された HTTP リクエストにより認証バイパスが発生することがあります。認証バイパスは、Shiro と Spring Boot が異なるパターンマッチング技術を使用している場合に発生します。Shiro と Spring Boot < 2.6 では、その両方が、デフォルトで Ant スタイルのパターンマッチングを使用しています。軽減策Apache Shiro に更新する 1.11.0、または次の Spring Boot 構成値を設定します
    「spring.mvc.pathmatch.matching-strategy = ant_path_matcher」CVE-2023-22602

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

在 Apache Shiro 1.11.0 之前版本中，搭配 Spring Boot 2.6 以上版本使用 Apache Shiro 時，特製要求可能會造成驗證繞過弱點。當 Shiro 和 Spring Boot 使用不同的模式比對技術時，會發生驗證繞過。Shiro 和 Spring Boot 低於 2.6 的版本皆預設為 Ant 樣式模式比對。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 搭配 Spring Boot 2.6+ 使用 [ 1.11.0 之前的 Apache Shiro 時特製的 HTTP 要求可能會造成驗證繞過。當 Shiro 和 Spring Boot 使用不同的模式比對技術時，會發生驗證繞過。Shiro 和 Spring Boot 低於 2.6 的版本皆預設為 Ant 樣式模式比對。減輕措施：更新至 Apache Shiro 1.11.0或設定下列 Spring Boot 組態值
    `spring.mvc.pathmatch.matching-strategy = ant_path_matcher` (CVE-2023-22602)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

在 Apache Shiro 1.11.0 之前版本中，当 Apache Shiro 与 Spring Boot 2.6+ 一起使用时，构建的请求可能会造成认证绕过漏洞。Shiro 和 Spring Boot 使用不同的模式匹配技术时，就会发生身份验证绕过。Shiro 和 Spring Boot < 2.6 均默认采用 Ant 风格的模式匹配。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 将 1.11.0 之前版本的 Apache Shiro 与 Spring Boot 2.6+ 一起使用时特制的 HTTP 请求可能造成身份验证绕过。Shiro 和 Spring Boot 使用不同的模式匹配技术时，就会发生身份验证绕过。Shiro 和 Spring Boot < 2.6 均默认采用 Ant 风格的模式匹配。缓解措施更新到 Apache Shiro 1.11.0或设置以下 Spring Boot 配置值
    `spring.mvc.pathmatch.matching-strategy = ant_path_matcher` (CVE-2023-22602)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
181841	Apache Shiro < 1.11.0 Authentication Bypass	Nessus	Misc.	2023/9/25	2024/10/7	high
255441	Linux Distros Unpatched Vulnerability : CVE-2023-22602	Nessus	Misc.	2025/8/26	2025/9/2	high
181841	Apache Shiro < 1.11.0 の認証バイパス	Nessus	Misc.	2023/9/25	2024/10/7	high
255441	Linux Distros のパッチ未適用の脆弱性: CVE-2023-22602	Nessus	Misc.	2025/8/26	2025/9/2	high
181841	Apache Shiro < 1.11.0 驗證繞過弱點	Nessus	Misc.	2023/9/25	2024/10/7	high
255441	Linux Distros 未修補的弱點：CVE-2023-22602	Nessus	Misc.	2025/8/26	2025/9/2	high
181841	Apache Shiro < 1.11.0 认证绕过漏洞	Nessus	Misc.	2023/9/25	2024/10/7	high
255441	Linux Distros 未修补的漏洞：CVE-2023-22602	Nessus	Misc.	2025/8/26	2025/9/2	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high