Обзор уязвимости

Расширение EXT:solr принимает поисковые запросы, предоставленные пользователем, через параметр tx_solr[q] и передаёт их в движок Apache Solr. По замыслу расширение допускает использование определённых операторов запросов — таких как подстановочные знаки (*), односимвольные подстановочные знаки (?), селекторы полей (:) и диапазонные запросы ([a TO z]) — для поддержки легитимной функциональности, например фасетной фильтрации.

Поскольку эти символы передавались непосредственно в конструкцию запроса бэкенда без применения белого списка или слоя абстракции запросов, злоумышленник может передать синтаксис, специфичный для полей, чтобы выйти за предполагаемые границы поиска. Это позволяет неаутентифицированным пользователям напрямую запрашивать внутренние поля Solr и извлекать данные индекса с использованием булевых слепых техник.

Техники атаки

1. Перечисление полей через field:*

Добавив подстановочный знак к произвольному или предполагаемому имени поля, злоумышленник может проверить, существует ли это поле в схеме:

Если поле существует, Solr обрабатывает запрос по всем совпадающим записям (часто вызывая различные коды ответа или поведение, связанное с объёмом), что позволяет автоматизировать перечисление полей на основе словарей.

2. Слепое извлечение значений через префиксные подстановочные знаки

Злоумышленники могут извлекать конфиденциальные значения полей посимвольно, используя булевы выводы:

3. Определение длины через оператор ?

Оператор односимвольного подстановочного знака (?) позволяет определить точную длину хранимой строки перед началом посимвольного перебора:

4. Ускоренные диапазонные запросы ([a TO z])

Диапазонные запросы позволяют выполнять извлечение методом бинарного поиска по первому символу, сокращая количество необходимых запросов с 26 до ~5 на каждую позицию символа:

Комбинирование определения длины, диапазонных запросов и префиксных подстановочных знаков позволяет полностью извлечь поле при минимальном количестве запросов.

Влияние

• Нарушение конфиденциальности: Полное извлечение всех полей, проиндексированных в Apache Solr (например, внутренних системных хешей, скрытого содержимого страниц, метаданных, связанных с пользователями, и системных идентификаторов).
• Обход контроля доступа: Обход фильтров поиска фронтенда и ограничений отображения TypoScript.
• Область действия: Затронуты все установки по умолчанию, использующие конечную точку поиска EXT:solr.

Устранение

Глобальное экранирование символов недостаточно, поскольку такие операторы, как * и :, обслуживают предусмотренные функции поиска. Для устранения требуется модель белого списка и парсинга на уровне приложения:

1. Разбирать предоставленные пользователем строки запросов в абстрактное синтаксическое дерево (AST) перед отправкой в движок Solr.
2. Применять строгие белые списки к допустимым целевым полям, запрещая прямые пользовательские запросы к внутренним или ограниченным полям.
3. Нейтрализовать злоупотребление операторами, не входящими в белый список, исходящее из недоверенных входных контекстов.

Хронология скоординированного раскрытия

• 6 марта 2026 г.: Уязвимость выявлена во время авторизованной оценки; первоначальное уведомление вендора.
• 17 апреля 2026 г.: Вендор внедрил локальные пограничные меры защиты; подтверждён характер ошибки в upstream.
• 8 мая 2026 г.: Официальный отчёт об уязвимости направлен в команду безопасности TYPO3 ([email protected]).
• 15 июня 2026 г.: Команда безопасности TYPO3 подтвердила воспроизведение и начала разработку патча совместно с сопровождающими расширения.
• 25 августа 2026 г.: Выпущен официальный бюллетень безопасности, опубликован патч и присвоен идентификатор CVE-2026-56096.

Ссылки

• Рекомендация по безопасности TYPO3: TYPO3-EXT-SA-2026-025
• Определение CWE: CWE-943: Improper Neutralization of Special Elements in Data Query Logic