【安全通报】Apache ShenYu Admin 身份验证绕过漏洞（CVE-2021-37580）

近日，Apache ShenYu Admin爆出身份验证绕过漏洞，攻击者可通过该漏洞绕过JSON Web Token (JWT)安全认证，直接进入系统后台。

漏洞描述

Apache ShenYu 是应用于所有微服务场景的，可扩展、高性能、响应式的 API 网关解决方案。

CVE-2021-37580

Apache ShenYu Admin 存在身份验证绕过漏洞。 ShenyuAdminBootstrap 中 JWT 的错误使用允许攻击者绕过身份验证，攻击者可通过该漏洞直接进入系统后台。

CVE 编号

CVE-2021-37580

FOFA 查询

body="id=\"httpPath\"" && body="th:text=\"${domain}\""

影响范围

影响版本：

Apache ShenYu 2.3.0
Apache ShenYu 2.4.0

修复版本：Apache ShenYu 2.4.1

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（body="id=\"httpPath\"" && body="th:text=\"${domain}\""）共有 33 个相关服务对外开放。中国使用数量最多，共有 29 个；新加坡第二，共有 2 个；中国香港第三，共有 1 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区浙江使用数量最多，共有 7 个；广东第二，共有 2 个；北京第三，共有 1 个；天津第四，共有 1 个。

Vulfocus 漏洞靶场环境

目前 Vulfocus 已经集成 Apache ShenYu Admin 环境，可通过

docker pull vulfocus/apache_shenyu-ce_2021_37580:latest

进行拉取运行，也可通过 http://vulfocus.fofa.so/ 进行测试。

漏洞复现

修复建议

及时升级至最新安全版本 Apache ShenYu 2.4.1：https://shenyu.apache.org/zh/download

参考

[1] https://lists.apache.org/thread/o15j25qwtpcw62k48xw1tnv48skh3zgb

[2] http://www.openwall.com/lists/oss-security/2021/11/16/1

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。