CVE-2016-4437
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Apache Shiro tiene un fallo crítico en la función 'recuérdame': cuando no se configura una clave de cifrado, los atacantes pueden falsificar tokens de login para eludir la autenticación o ejecutar código malicioso en el servidor. Esto es peligroso porque la función se usa comúnmente y la configuración predeterminada deja los sistemas vulnerables.
CVE-2016-4437 explota una deficiente gestión de claves criptográficas en la funcionalidad RememberMe de Apache Shiro (CWE-321). Sin clave de cifra configurada, el token de autenticación serializado carece de encriptación, permitiendo que atacantes remotos creen objetos serializados maliciosos a través de parámetros de solicitud que logran ejecución arbitraria de código mediante gadgets de deserialización o bypass directo de autenticación. No requiere autenticación previa.
El análisis completo de esta CVE está disponible en portugués →