234钱包

今日，，234钱包安全应急响应中心监测到，，Apache Solr颁布布告，，修复了ConfigSet API中存在的未授权上传缝隙风险，，该缝隙被利用可导致RCE（远程代码执行）！！

该缝隙影响较大，，建议用户实时更新到安全版本，，做好资产自查及预防工作，，以免遭逢攻击造成不用要的损失！！

缝隙描述

Apache Solr是一个开源搜索服务！！Ｆ渲匾澳茉毯募焖鳌、射中标示、、分面搜索、、动态聚类、、数据库集成，，以及富文本的处置！！olr是高度可扩大的，，并提供了散布式搜索和索引复制！！

Apache Solr Configset Api上传职能存在未授权缝隙，，攻击者能够机关特定要求，，上传有关恶意文件，，从而直接获取到服务器权限！！

风险等级

高危

缝隙编号

CVE-2020-13957

影响版本

Apache Solr: 6.6.0 - 6.6.5

Apache Solr: 7.0.0 - 7.7.3

Apache Solr: 8.0.0 - 8.6.2

修复建议

1. 未使用ConfigSets API，，请禁用UPLOAD号令，，即-Dconfigset.upload.enabled=false；

参考：：https://lucene.apache.org/solr/guide/8_6/configsets-api.html；

2. 使用身份验证/授权，，确保未知要求不被允许

参考：：https://lucene.apache.org/solr/guide/8_6/authentication-and-authorization-plugins.html；

3. 升级到Solr 8.6.3或更高版本

4. 若无法升级，，参考SOLR-14663布告中的补丁

参考：：https://issues.apache.org/jira/browse/SOLR-14663；

5. 设置防火墙规定进行接见节制，，设置Solr API接见的白名单

参考链接

[1] https://issues.apache.org/jira/browse/SOLR-14925

[2] https://issues.apache.org/jira/browse/SOLR-14663

北京234钱包网络技术有限公司

2020/10/13