Apache Shiro の脆弱性（CVE-2016-4437）

何が起きた

Java のアプリでログインなどを扱う部品 Apache Shiro で、「remember me（ログイン状態を覚える）」機能の暗号鍵を設定していない場合に、外から命令を実行されたり、アクセス制限をすり抜けられたりする弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしに悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Shiro の 1.2.5 より前の版を使い、remember me 機能の暗号鍵を設定していないアプリが対象です。Apache Shiro のセキュリティ報告のページにも、同じ内容が載っています。

何をすればいい

Apache Shiro を 1.2.5 以降に更新されているか確認してください。あわせて、remember me 機能の暗号鍵が設定されているかを確かめてください。詳しくは Apache Shiro の公式の案内を確認してください。

やることチェックリスト

• 使っている Apache Shiro の版を調べる
• Apache Shiro を 1.2.5 以降に更新する
• remember me の暗号鍵を設定する

用語メモ

暗号鍵

データを暗号化したり元に戻したりするときに使う、秘密の値です。

remember me

一度ログインすると、次に来たときもログイン状態を保つ機能です。