CVE-2022-32532 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Apache Shiro 的 `RegexRequestMatcher` 配置错误。 🔥 **后果**：安全规则被绕过，导致未授权访问。

🛡️ **CWE**：CWE-863（不正确的授权）。 🔍 **缺陷**：正则表达式匹配器在特定 Servlet 容器上配置不当。

📦 **组件**：Apache Shiro。 📅 **版本**：1.9.1 之前的所有版本。

🕵️ **权限**：绕过 Token 验证。 💾 **数据**：访问本应受保护的接口（如 `/permit` 路径）。

📉 **门槛**：中等。 ⚙️ **条件**：开发者使用了 `RegExPatternMatcher` 且配置有误。

💻 **Exp**：有 PoC。 🔗 **来源**：GitHub 上已有演示项目（Lay0us1/my0113）。

🔎 **自查**：检查代码是否使用 `RegExPatternMatcher`。 📝 **特征**：查看 Shiro 版本是否 < 1.9.1。

🩹 **补丁**：官方已发布修复。 ✅ **建议**：升级至 Apache Shiro 1.9.1 或更高版本。

🛑 **规避**：若无法升级，检查并修正 `RegexRequestMatcher` 配置。 🚫 **临时**：确保 Token 头验证逻辑严密，不依赖错误的正则匹配。

⚡ **优先级**：高。 📢 **建议**：涉及认证绕过，建议立即评估影响并升级。