tdwyer/poc_cve-2017-3164_cve-2017-1262Apache Solr Poc CVE-2017-3164 CVE-2017-12629
このフォルダには、Apache Solr CVE-2017-3164 CVE-2017-12629 のエクスプロイト例が含まれています。
教育目的でのみ、かつApache Solrサーバーの所有者の完全な許可を得た上で使用してください。
Apache SolrサーバーのIPまたはDNS名、およびコレクション名を知っておく必要があります。
Apache Solr バージョン1.3から7.6（両端含む）におけるサーバーサイドリクエストフォージェリ。 "shards"パラメータに対応するホワイトリスト機構がないため、サーバーにアクセス可能なリモート攻撃者は、Solrに任意の到達可能なURLに対してHTTP GETリクエストを実行させることができます。
このSSRFは非常に強力です。なぜなら、これにGETリクエストを送信するだけで、対象にPOSTリクエストを実行させることができるからです。さらに、GETリクエストと一緒にPOSTリクエスト本文をURLパラメータとして指定することもできます。
Apache Solr 7.1未満およびApache Lucene 7.1未満では、XXEを悪用し、Config APIのadd-listenerコマンドと組み合わせてRunExecutableListenerクラスに到達することでリモートコード実行が発生します。ElasticsearchはLuceneを使用していますが、この脆弱性の影響を受けません。XML外部エンティティ展開の脆弱性は、デフォルトで利用可能なXML Query Parserで発生し、パラメータdeftype=xmlparserを持つ任意のクエリリクエストに悪用可能であり、/uploadリクエストハンドラへの悪意のあるデータのアップロードや、ftpラッパーを使用したBlind XXEによるSolrサーバー上の任意のローカルファイルの読み取りに悪用される可能性があります。また、2つ目の脆弱性は、影響を受けるすべてのバージョンのSolrで利用可能なRunExecutableListenerを使用したリモートコード実行に関連しています。
私はこのRCEを悪用することを選びましたが、Apache SolrにはSSRFを使用して悪用できるRCE脆弱性が多数あります。また、Solrサーバーがアクセスできる他のサーバー（例：Redisコマンドを供給してRedisサーバー上でリバースシェルを取得するなど）を同様に簡単に悪用することもできます。
このファイルを公開Webサーバーにホストし、ターゲットユーザーにメールで送信できます。ターゲットがWebページを読み込むと、JavaScriptが自動的にApache Solrサーバーを悪用します。
ポート番号は?n= URLパラメータで指定する必要があります。これにより、複数のターゲットにメールを送信し、それぞれに固有のリスナーを設定できます。
