91百色国产视频|亚洲欧美伦理中文字幕在线|亚洲中文乱码在线|天堂影音av在线|国产激情人妻熟女|AV无码高清在线|超碰在线免费观看操|亚洲va中文字幕|欧美极品性爱四区|国产精品二区在线观看

今日，金山云安全應(yīng)急響應(yīng)中心監(jiān)測到，Apache Solr發(fā)布公告，修復(fù)了ConfigSet API中存在的未授權(quán)上傳漏洞風(fēng)險，該漏洞被利用可導(dǎo)致RCE（遠程代碼執(zhí)行）。

該漏洞影響較大，建議用戶及時更新到安全版本，做好資產(chǎn)自查及預(yù)防工作，以免遭受攻擊造成不必要的損失。

漏洞描述

Apache Solr是一個開源搜索服務(wù)。其主要功能包括全文檢索、命中標示、分面搜索、動態(tài)聚類、數(shù)據(jù)庫集成，以及富文本的處理。Solr是高度可擴展的，并提供了分布式搜索和索引復(fù)制。

Apache Solr Configset Api上傳功能存在未授權(quán)漏洞，攻擊者可以構(gòu)造特定請求，上傳相關(guān)惡意文件，從而直接獲取到服務(wù)器權(quán)限。

風(fēng)險等級

高危

漏洞編號

CVE-2020-13957

影響版本

Apache Solr: 6.6.0 - 6.6.5

Apache Solr: 7.0.0 - 7.7.3

Apache Solr: 8.0.0 - 8.6.2

修復(fù)建議

1. 未使用ConfigSets API，請禁用UPLOAD命令，即-Dconfigset.upload.enabled=false；

參考：https://lucene.apache.org/solr/guide/8_6/configsets-api.html；

2. 使用身份驗證/授權(quán)，確保未知請求不被允許

參考：https://lucene.apache.org/solr/guide/8_6/authentication-and-authorization-plugins.html；

3. 升級到Solr 8.6.3或更高版本

4. 若無法升級，參考SOLR-14663公告中的補丁

參考：https://issues.apache.org/jira/browse/SOLR-14663；

5. 設(shè)置防火墻規(guī)則進行訪問控制，設(shè)置Solr API訪問的白名單

參考鏈接

[1] https://issues.apache.org/jira/browse/SOLR-14925

[2] https://issues.apache.org/jira/browse/SOLR-14663

北京金山云網(wǎng)絡(luò)技術(shù)有限公司

2020/10/13