• instancePath.toAbsolutePath() pode resolver caminhos UNC pela rede
• A verificação Files.exists() executa chamadas de rede
• Files.newInputStream() executa leituras de rede
• A validação de caminho via assertPathAllowed() ocorre somente após essas operações

Linha do Tempo

• 2025-08-20: Vulnerabilidade descoberta e relatada à Apache
• 2026-01-20: Divulgação pública

Conteúdo do Repositório

• exploit.py - Script de exploração de prova de conceito
• files/ - Arquivos de suporte necessários para a exploração (configset)
  • rce.js - Payload JavaScript de execução remota de código
  • conf/ - Arquivos de configuração do Solr
    • solrconfig.xml - Define a cadeia de processadores de atualização maliciosa
    • schema.xml - Definição do schema do Solr
    • managed-schema - Arquivo de schema gerenciado
• requirements.txt - Dependências Python

Instruções de Uso

Requisitos de Ambiente

• Python 3.6+
• O sistema alvo deve executar Apache Solr (sistema Windows, modo standalone)
• O Solr alvo não deve ter autenticação habilitada, ou o atacante deve ter permissão para criar cores

Instalação das Dependências

As dependências incluem:

• requests>=2.25.0 - Para solicitações HTTP
• impacket>=0.10.0 - Para criar o servidor SMB

Uso Básico

1. Ataque Básico (detecção automática do IP local)

Exemplo:

2. Especificar a Porta do Solr

Exemplo:

3. Especificar a Configuração do Servidor SMB

Exemplo:

4. Nome Personalizado do Compartilhamento SMB

Exemplo:

Descrição dos Argumentos de Linha de Comando

Fluxo do Ataque

1. Iniciar o servidor SMB: O script inicia um servidor SMB local, compartilhando o diretório files
2. Criar Core malicioso: Envia uma solicitação de criação de core ao Solr alvo, apontando para o configset malicioso no servidor SMB
3. Acionar o Payload: O Solr baixa os arquivos de configuração do servidor SMB, que contêm código JavaScript malicioso
4. Executar comandos: Aciona a execução do payload JavaScript enviando uma solicitação de atualização
5. Shell interativo: Após a exploração bem-sucedida, entra em um ambiente interativo de execução de comandos

Uso do Shell Interativo

Após a exploração bem-sucedida, o script fornece um shell interativo:

Comandos suportados:

• Qualquer comando CMD do Windows
• exit ou quit - Sai do shell interativo
• Ctrl+C - Interrompe e sai

Como Funciona

A vulnerabilidade explora a seguinte cadeia de técnicas:

1. Injeção de caminho UNC: Injeta um caminho UNC (por exemplo, //ip-do-atacante/compartilhamento) por meio do parâmetro configSet
2. Servidor SMB: Hospeda os arquivos de configuração maliciosos do Solr
3. RCE via JavaScript: Explora o StatelessScriptUpdateProcessorFactory do Solr para executar código JavaScript
4. Execução de comandos: Executa comandos arbitrários no sistema alvo por meio da API Java Runtime

Exemplos de Uso Avançado

Exemplo com Parâmetros Completos

Descrição da Estrutura de Arquivos

Descrição do Payload

rce.js: Este é o payload RCE principal, que:

• Intercepta as operações de atualização do Solr (add, delete, commit, rollback)
• Obtém o parâmetro cmd dos parâmetros da solicitação
• Executa comandos usando a API Java Runtime
• Captura stdout e stderr
• Retorna o resultado da execução e o código de saída

solrconfig.xml: Configura o Solr para usar a cadeia de processadores de atualização maliciosa:

• Define a cadeia de processadores de atualização rce-chain
• Referencia o script rce.js
• Define o manipulador de solicitações /update para usar essa cadeia

Avisos

⚠️ Aviso: Esta ferramenta destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado desta ferramenta para atacar sistemas é ilegal.

• Certifique-se de obter autorização escrita explícita antes do uso
• Use apenas em ambientes de teste ou em ambientes com autorização legal
• Não use em sistemas de produção, exceto em ambientes controlados de teste de penetração
• O usuário é responsável por suas próprias ações

Recomendações de Mitigação

1. Atualize o Solr: Atualize o Apache Solr para uma versão que corrija a vulnerabilidade
2. Habilite a autenticação: Garanta que o Solr tenha mecanismos de autenticação fortes habilitados
3. Limite as permissões de criação de Core: Conceda permissão para criar cores apenas a usuários confiáveis
4. Isolamento de rede: Implante o Solr em um ambiente de rede protegido
5. Regras de firewall: Restrinja o acesso à interface de administração do Solr
6. Monitore atividades anômalas: Monitore acessos a caminhos UNC e solicitações anormais de criação de cores

Links de Referência

• Site oficial do Apache Solr
• Aviso na lista de e-mails OSS Security
• CWE-20: Improper Input Validation

Licença

Este projeto segue a licença MIT. Consulte o arquivo LICENSE para obter detalhes.

Aviso Legal

Esta ferramenta e as informações fornecidas destinam-se exclusivamente a fins de pesquisa de segurança e educação. O autor não se responsabiliza por quaisquer danos causados pelo uso indevido destas informações ou ferramentas. O usuário deve cumprir todas as leis e regulamentos aplicáveis e obter a devida autorização antes do uso.