• instancePath.toAbsolutePath() puede resolver rutas UNC a través de la red
• La comprobación Files.exists() realiza llamadas de red
• Files.newInputStream() ejecuta lecturas de red
• La validación de rutas mediante assertPathAllowed() solo ocurre después de estas operaciones

Cronología

• 2025-08-20: Vulnerabilidad descubierta y reportada a Apache
• 2026-01-20: Divulgación pública

Contenido del repositorio

• exploit.py - Script de explotación de prueba de concepto
• files/ - Archivos de soporte necesarios para la explotación (configset)
  • rce.js - Payload JavaScript de ejecución remota de código
  • conf/ - Archivos de configuración de Solr
    • solrconfig.xml - Define la cadena de procesadores de actualización maliciosa
    • schema.xml - Definición del schema de Solr
    • managed-schema - Archivo de schema gestionado
• requirements.txt - Dependencias de Python

Instrucciones de uso

Requisitos del entorno

• Python 3.6+
• El sistema objetivo debe ejecutar Apache Solr (sistema Windows, modo independiente)
• El Solr objetivo no tiene autenticación habilitada, o el atacante tiene permisos para crear cores

Instalación de dependencias

Las dependencias incluyen:

• requests>=2.25.0 - Para solicitudes HTTP
• impacket>=0.10.0 - Para crear el servidor SMB

Uso básico

1. Ataque básico (detección automática de IP local)

Ejemplo:

2. Especificar el puerto de Solr

Ejemplo:

3. Especificar la configuración del servidor SMB

Ejemplo:

4. Nombre de recurso compartido SMB personalizado

Ejemplo:

Descripción de argumentos de línea de comandos

Flujo del ataque

1. Iniciar servidor SMB: El script inicia un servidor SMB local que comparte el directorio files
2. Crear Core malicioso: Envía una solicitud de creación de core al Solr objetivo, apuntando al configset malicioso en el servidor SMB
3. Activar el Payload: Solr descarga los archivos de configuración del servidor SMB, que contienen código JavaScript malicioso
4. Ejecutar comandos: Envía una solicitud de actualización para activar la ejecución del payload JavaScript
5. Shell interactivo: Tras una explotación exitosa, se accede a un entorno interactivo de ejecución de comandos

Uso del shell interactivo

Tras una explotación exitosa, el script proporciona un shell interactivo:

Comandos admitidos:

• Cualquier comando CMD de Windows
• exit o quit - Salir del shell interactivo
• Ctrl+C - Interrumpir y salir

Cómo funciona

La vulnerabilidad explota la siguiente cadena técnica:

1. Inyección de ruta UNC: Inyecta una ruta UNC a través del parámetro configSet (por ejemplo, //ip-atacante/recurso)
2. Servidor SMB: Aloja los archivos de configuración maliciosos de Solr
3. RCE mediante JavaScript: Utiliza StatelessScriptUpdateProcessorFactory de Solr para ejecutar código JavaScript
4. Ejecución de comandos: Ejecuta comandos arbitrarios en el sistema objetivo mediante la API de Java Runtime

Ejemplos de uso avanzado

Ejemplo con todos los parámetros

Descripción de la estructura de archivos

Descripción del payload

rce.js: Este es el payload principal de RCE, que:

• Intercepta las operaciones de actualización de Solr (add, delete, commit, rollback)
• Obtiene el parámetro cmd de los parámetros de la solicitud
• Ejecuta comandos mediante la API de Java Runtime
• Captura stdout y stderr
• Devuelve el resultado de la ejecución y el código de salida

solrconfig.xml: Configura Solr para usar la cadena de procesadores de actualización maliciosa:

• Define la cadena de procesadores de actualización rce-chain
• Hace referencia al script rce.js
• Configura el procesador de solicitudes /update para usar esta cadena

Advertencias

⚠️ Aviso: Esta herramienta es solo para pruebas de seguridad autorizadas y fines educativos. El uso no autorizado de esta herramienta para atacar sistemas es ilegal.

• Asegúrese de obtener autorización escrita explícita antes de usarla
• Úsela únicamente en entornos de prueba o en entornos con autorización legal
• No la use en sistemas de producción, salvo en entornos controlados de pruebas de penetración
• El usuario es responsable de sus propias acciones

Recomendaciones de mitigación

1. Actualizar Solr: Actualice Apache Solr a una versión que haya corregido esta vulnerabilidad
2. Habilitar autenticación: Asegúrese de que Solr tenga habilitado un mecanismo de autenticación sólido
3. Restringir permisos de creación de cores: Conceda permisos para crear cores únicamente a usuarios de confianza
4. Aislamiento de red: Implemente Solr en un entorno de red protegido
5. Reglas de firewall: Restrinja el acceso a la interfaz de administración de Solr
6. Monitoreo de actividad anómala: Supervise el acceso a rutas UNC y solicitudes anómalas de creación de cores

Enlaces de referencia

• Sitio web oficial de Apache Solr
• Anuncio en la lista de correo OSS Security
• CWE-20: Improper Input Validation

Licencia

Este proyecto se rige por la licencia MIT. Consulte el archivo LICENSE para obtener más información.

Descargo de responsabilidad

Esta herramienta y la información proporcionada son solo para fines de investigación de seguridad y educación. El autor no se hace responsable de ningún daño causado por el uso indebido de esta información o herramienta. El usuario debe cumplir con todas las leyes y regulaciones aplicables y obtener la autorización adecuada antes de su uso.