Apache Solr远程号令执行缝隙安全公告

颁布功夫 2019-08-07

? 缝隙编号和级别


CVE编号：CVE-2019-0193，，，危险级别：严重，，，CVSS分值：官方未评定


? 影响版本


受影响的版本


合用于Apache Solr < 8.2.0。。。


? 缝隙概述


Apache Solr是美国阿帕奇（Apache）软件基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器。。。该产品支持层面搜索、、垂直搜索、、高亮显示搜索了局等。。。


这次缝隙呈此刻Apache Solr的DataImportHandler，，，该�？？槭且桓隹裳〉Ｓ玫哪？？�，，，用于从数据库和其他源中提取数据。。。


该缝隙源于用户在solrconfig.xml文件中设置了DataImportHandler，，，开启了DataImport职能。。。DataImportHandler�？？樵市碛没ё约涸毯绫�，，，来进行配置。。。攻击者能够通过机关恶意的剧本交由转换器进行解析，，，在Solr解析的过程中并未对用户的输入做查抄，，，可导致攻击者远程在Solr服务器上执行号令。。。


? 缝隙验证


EXP: https://github.com/xConsoIe/CVE-2019-0193。。。


缝隙利用成效如下：

 

OG东方厅·(中国大陆)


? 修复建议


将Apache Solr升级至8.2.0或更高的版本。。。


一时修复建议：


1、、编纂solrconfig.xml，，，将所有效固定值配置的DataImportHandler用法中的dataConfig参数设置为空字符串；； ；


2、、确保网络设置只允许可信的流量与Solr进行通讯，，，出格是与DIH要求处置法式的通讯。。。


? 参考链接


https://issues.apache.org/jira/browse/SOLR-13669