Apache-Solr-RCE-via-Velocity-template

Referenzlink

Ursache der Schwachstelle:

1. Wenn ein Angreifer direkt auf die Solr-Konsole zugreifen kann, kann er über eine POST-Anfrage ähnlich wie /Knotenname/config die Konfigurationsdatei dieses Knotens ändern.
2. Apache Solr integriert standardmäßig das Plugin VelocityResponseWriter. Die Option params.resource.loader.enabled in den Initialisierungsparametern dieses Plugins steuert, ob der Parameter-Ressourcen-Loader das Angeben von Vorlagen in den Solr-Anfrageparametern erlaubt; standardmäßig ist sie auf false gesetzt. Wird params.resource.loader.enabled auf true gesetzt, können Benutzer über die Parameter in der Anfrage das Laden entsprechender Ressourcen festlegen. Das bedeutet, dass ein Angreifer durch das Erstellen einer bösartigen Anfrage Befehle auf dem Server ausführen kann.

Reproduktion der Schwachstelle: Wiederkehrende Schwachstelle

Methode 1: Manuelle Überprüfung Rufen Sie http://x.x.x.x:8983/solr/#/ auf, um zur Hauptoberfläche zu gelangen, und klicken Sie links auf Core Selector, um den Sammlungsnamen anzuzeigen.

Verwenden Sie die folgenden beiden Payloads

1. Sammlungseinstellungen ändern

2. Befehlsausführung Befehlsausführung erfolgreich!

Methode 2: Skriptbasierte Überprüfung

1. 
2. 

Empfehlungen zur Behebung der Schwachstelle:

1. Es wird empfohlen, sicherzustellen, dass die Netzwerkeinstellungen nur vertrauenswürdigem Datenverkehr die Kommunikation mit Solr erlauben. Es wird empfohlen, sicherzustellen, dass die Netzwerkeinstellungen nur vertrauenswürdigem Datenverkehr erlauben, mit Solr zu kommunizieren.
2. Setzen Sie params.resource.loader.enabled auf false und stellen Sie dann die Konfigurationsdatei auf schreibgeschützt. Geben Sie params.resource.loader.enabled als false an und setzen Sie die Konfigurationsdatei dann auf schreibgeschützt. Standardmäßig ist params.resource.loader.enabled auf false gesetzt, und es gibt keine Konfigurationsdatei. Wenn Sie den entsprechenden Wert ändern oder eine erzwungene Änderung vornehmen möchten, ist eine Konfigurationsdatei erforderlich. Standardmäßig ist params.resource.loader.enabled false. Es gibt keine Konfigurationsdatei. Wenn Sie den entsprechenden Wert ändern oder eine erzwungene Änderung vornehmen möchten, müssen Sie die Datei konfigurieren. Standardmäßig besitzt die Knotenkonfigurationsdatei configoverlay.json Lese-/Schreibrechte. Standardmäßig ist die Knotenkonfigurationsdatei configoverlay.json die Konfigurationsdatei mit Lese-/Schreibrechten. Konfigurationsdateipfad: (abhängig von der tatsächlichen Situation) Pfad: (abhängig von der tatsächlichen Situation) ./example/example-DIH/solr/db/conf/configoverlay.json: ./example/example-DIH/solr/mail/conf/configoverlay.json: ./example/example-DIH/solr/solr/conf/configoverlay.json: Setzen Sie in allen die Option auf . Wenn keine vorhanden ist, wird empfohlen, eine manuell zu erstellen und dann ihre Berechtigungen so festzulegen, dass sie nur gelesen werden kann. Setzen Sie in allen die Option auf . Wenn es keine gibt, wird empfohlen, eine manuell zu erstellen und ihre Berechtigungen so festzulegen, dass sie nur gelesen werden kann.

EXP-Beschreibung:

1. Es müssen Nodes durchsucht werden und iterativ ermittelt werden, welche Nodes per POST angesprochen werden können. Wir müssen Nodes durchsuchen und feststellen, welche per POST gesendet werden könnten.
2. Die Betriebssystemversion muss ermittelt werden, um den Befehl zur Ausführung der Operation einzugeben. Außerdem müssen wir die Betriebssystemversion ermitteln und entscheiden, den Befehl zur Ausführung der Operation einzugeben.