【清静威胁通告】Apache Solr远程下令执行误差威胁预警通告

2019-10-31

宣布者：九游老哥科技

综述

今日，外洋的清静研究员_S00pY在GitHub宣布了关于Apache Solr使用Velocity模板来告竣远程下令执行的POC。九游老哥科技研究职员经剖析后确认该POC有用，造成的影响较大。Apache Solr官方尚未宣布相关补丁修复该误差。

参考链接：

https://gist.github.com/s00py/a1ba36a3689fa13759ff910e179fc133

九游老哥科技预警级别：【蓝色】

级别界说请参考后文九游老哥科技清静预警定级说明部分

影响产品版本

详细影响版本未知，经测试以下版本受影响：

l Apache Solr 8.2.0 （最新版本）

不受影响产品版本

Apache Solr现在尚未宣布新版本修复该误差

解决计划

Apache Solr官方尚未宣布补丁修复该误差，请用户坚持关注。

https://lucene.apache.org/solr/

用户可以检查是否保存Configoverlay.json设置文件，并且确保其中的 “solr.resource.loader.enabled”设置为False并且开启Solr实例清静认证来举行暂时防护。

九游老哥科技清静预警定级说明

级别	级别说明	手艺剖析效果	检测与防护升级包
红色	影响规模极大，危害极高，使用难度低	12小时	16小时
橙色	影响规模较广，危害严重，使用难度较低	12小时	16小时
黄色	影响规模可控，危害水平可控，使用难度较高	12小时	16小时
蓝色	影响较小，危害水平较小，使用条件苛刻	-	周例行

声明

本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。