captain-woof/cve-2017-12629Execução remota de código ocorre no Apache Solr anterior à versão 7.1 com Apache Lucene anterior à versão 7.1 explorando XXE em conjunto com o uso de um comando add-listener da API Config para alcançar a classe RunExecutableListener.
A execução remota de código ocorre no Apache Solr anterior à versão 7.1 com Apache Lucene anterior à versão 7.1 ao explorar XXE em conjunto com o uso de um comando add-listener da API de Configuração para alcançar a classe RunExecutableListener. O Elasticsearch, embora utilize Lucene, NÃO é vulnerável a isso. Observe que a vulnerabilidade de expansão de entidades externas XML ocorre no Analisador de Consultas XML, que está disponível, por padrão, para qualquer solicitação de consulta com os parâmetros deftype=xmlparser, e pode ser explorada para enviar dados maliciosos ao manipulador de solicitações /upload ou como XXE cego usando o wrapper ftp para ler arquivos locais arbitrários do servidor Solr. Observe também que a segunda vulnerabilidade está relacionada à execução remota de código usando o RunExecutableListener disponível em todas as versões afetadas do Solr.
usage: rce.py [-h] -ue URL_BASE_EXTERNAL -ui URL_BASE_INTERNAL [-b {curl,wget,ftp,ping,nc,ncat,nslookup,dig}] -e EXFIL
[-f {hex,base32}]
POC for CVE-2017-12629 (RCE via internal SSRF via XXE) by @realCaptainWoof
options:
-h, --help show this help message and exit
-ue, --url-base-external URL_BASE_EXTERNAL
External URL base of the vulnerable application; e.g, 'https://vulnerable.app/solr'
-ui, --url-base-internal URL_BASE_INTERNAL
Internal URL base of the vulnerable application; e.g, 'https://127.0.0.1:8983'; default:
'https://127.0.0.1:8983'
-b, --bin {curl,wget,ftp,ping,nc,ncat,nslookup,dig}
How to exfiltrate command output from target; default: 'curl'
-e, --exfil EXFIL Destination to exfil to. Make sure this corresponds to '--bin'; e.g, if '--bin' is 'curl', '--exfil' can
be 'http://EXFIL.myserver.com/EXFIL'. Must specify injection point via 'EXFIL' keyword.
-f, --exfil-format {hex,base32}
Format in which to exfil the command output; default: 'base32'