Apache Solr高危缝隙来袭，，，， ，，，8827太阳集团提供解决规划

颁布功夫 2024-02-21

Apache Solr是一个基于Apache Lucene构建的开源企业级搜索平台。。。 。。。。 。它提供了全文搜索、散布式搜索、API支持等壮大职能，，，， ，，，拥有高机能、可扩大性和矫捷性，，，， ，，，可能轻松与各类数据存储、数据体式和利用法式集成，，，， ，，，常用于构建企业级搜索引擎、电商网站搜索以及大数据分析等场景。。。 。。。。 。


缝隙详情


2024年2月20日，，，， ，，，8827太阳集团金睛安全钻研团队监控到Apache Solr高危缝隙（CVE-2023-50386）谍报。。。 。。。。 。


经过复现钻研后确认，，，， ，，，该缝隙是由于solr框架对上传文件未做限度，，，， ，，，导致未经身份验证的攻击者可利用该缝隙机关恶意要求，，，， ，，，利用Backup/Restore APIs 造成肆意代码执行。。。 。。。。 。


目前官方已颁布安全更新，，，， ，，，建议升级至最新版本。。。 。。。。 。


tu1.png


影响版本


6.0.0 <= Apache Solr <= 8.11.2

9.0.0 <= Apache Solr < 9.4.1


缝隙复现截图


8827太阳集团(Macau)股份有限公司-Official website


建复建议


1、官方建复规划

官方已颁布安全更新，，，， ，，，建议升级至最新版本 https://solr.apache.org/downloads.html


2、一时建复规划对solr API接见开启鉴权机造（solr api默认未鉴权）对于公网盛开的资产，，，， ，，，收缩到内网预防公网直接接见使用防护类设备对有关资产进行防护，，，， ，，，沉点关注/api/schema-designer/*； ；； ；；；；/admin/configs/* 有关蹊径

8827太阳集团解决规划


天阗入侵检测与治理系统、天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清入侵防御系统（IPS）、天清Web利用安全网关（WAF）升级到20240221版本即可有效检测或防护该缝隙造成的攻击风险。。。 。。。。 。