CVE-2023-50290: Apache Solr: Host-Umgebungsvariablen werden über die Metrics-API veröffentlicht | Kitploit

CVE-2023-50290

MittelVeröffentlicht

Apache Solr: Host-Umgebungsvariablen werden über die Metrics-API veröffentlicht

Veröffentlicht: 15.01.2024
Aktualisiert: 09.05.2025
CNA zuweisen: apache
Beweise beobachtet: 08.08.2026

Primäres CVSS

6,5/ 10Mittel

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

EPSS-Wahrscheinlichkeitsschätzung

68,4 %

Hoch · nächste 30 Tage

Perzentil: 99,3 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Schwachstelle: Offenlegung sensibler Informationen gegenüber einem unbefugten Akteur in Apache Solr. Die Solr-Metrics-API veröffentlicht alle ungeschützten Umgebungsvariablen, die für jede Apache-Solr-Instanz verfügbar sind. Benutzer können festlegen, welche Umgebungsvariablen ausgeblendet werden sollen; die Standardliste ist jedoch darauf ausgelegt, für bekannte geheime Java-Systemeigenschaften zu funktionieren. Umgebungsvariablen können in Solr nicht streng definiert werden, wie es bei Java-Systemeigenschaften möglich ist, und sie können für den gesamten Host gesetzt werden, im Gegensatz zu Java-Systemeigenschaften, die pro Java-Prozess gesetzt werden. Die Solr-Metrics-API ist durch die Berechtigung „metrics-read“ geschützt. Daher sind Solr-Clouds mit eingerichteter Autorisierung nur über Benutzer mit der Berechtigung „metrics-read“ angreifbar. Dieses Problem betrifft Apache Solr von 9.0.0 bis vor 9.3.0. Benutzern wird empfohlen, auf Version 9.3.0 oder höher zu aktualisieren, in der Umgebungsvariablen nicht mehr über die Metrics-API veröffentlicht werden.

Quellen

bug-bounty-reports-desai-vinayakInformativ
Bug-Bounty- und Schwachstellenforschungsberichte von Desai Vinayak — einschließlich CVE-2023-50290 (Apache Solr) und Erkenntnisse zur Zscaler-Subdomain-Übernahme.

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.