Apache Solr 环境变量信息泄漏漏洞 (CVE-2023-50290)

漏洞类型 未授权敏感信息泄露 发现时间 2024-01-13 漏洞等级 高危
MPS编号 MPS-xjy6-0kiu CVE编号 CVE-2023-50290 漏洞影响广度 广

漏洞危害

OSCS 描述
Apache Solr 是一款开源的搜索引擎。
在 Apache Solr 受影响版本中,由于 Solr Metrics API 默认输出所有未单独配置保护策略的环境变量。在默认无认证或具有 metrics-read 权限的情况下,攻击者可以通过向 /solr/admin/metrics 端点发送恶意请求,从而获取到运行 Solr 实例的主机上的所有系统环境变量,包括敏感信息的配置、密钥等。
参考链接:https://www.oscs1024.com/hd/MPS-xjy6-0kiu

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.solr:solr-core [9.0.0, 9.3.0) 升级 将 org.apache.solr:solr-core 升级至 9.3.0 及以上版本
solr [9.0.0, 9.3.0) 升级 将组件 solr 升级至 9.3.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-xjy6-0kiu

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-xjy6-0kiu

https://www.openwall.com/lists/oss-security/2024/01/12/3

https://issues.apache.org/jira/browse/SOLR-16808

https://issues.apache.org/jira/secure/attachment/13058326/SOLR-16808.patch

(0)
上一篇 2024年1月12日 下午8:00
下一篇 2024年1月16日 下午8:00

相关推荐

  • Apache StreamPipes <0.92.0 权限管理不当漏洞(CVE-2023-31469)

    漏洞类型 权限管理不当 发现时间 2023/6/23 漏洞等级 中危 MPS编号 MPS-nbg7-lsvd CVE编号 CVE-2023-31469 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache StreamPipes 是一个开源的数据流处理框架。Apache StreamPipes 受影响版本中由于 UserResource.java 中的…

    2023年8月31日
    0
  • IP-guard WebServer < 4.82.0609.0任意文件读取漏洞【PoC公开】 (MPS-5ag1-ycm0)

    漏洞类型 未授权敏感信息泄露 发现时间 2024-04-16 漏洞等级 严重 MPS编号 MPS-5ag1-ycm0 CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 IP-guard是溢信科技推出的终端数据安全防护软件。 IP-guard WebServer < 4.82.0609.0存在任意文件读取漏洞,由于服务器端的脚本(vie...

    漏洞 2024年4月16日
    0
  • Spring Web UriComponentsBuilder主机名校验不当 (CVE-2024-22262)

    漏洞类型 SSRF 发现时间 2024-04-11 漏洞等级 高危 MPS编号 MPS-on8i-6ldy CVE编号 CVE-2024-22262 漏洞影响广度 一般 漏洞危害 OSCS 描述 Spring Framework 是一个开源的Java应用程序框架,UriComponentsBuilder是Spring Web中用于构建和操作URI的工具类。 …

    漏洞 2024年4月15日
    0
  • vCenter Server 远程代码执行漏洞 (CVE-2023-34048)

    漏洞类型 越界写入 发现时间 2023-10-26 漏洞等级 严重 MPS编号 MPS-b28s-4xal CVE编号 CVE-2023-34048 漏洞影响广度 一般 漏洞危害 OSCS 描述 vCenter Server是一种虚拟化管理软件,用于集中管理和监控VMware虚拟化环境中的多个虚拟机和主机。DCERPC协议是一种远程过程调用协议,能使处于同一…

    2023年10月26日
    0
  • 禅道项目管理系统身份认证绕过风险 (MPS-djcs-koe8)

    漏洞类型 身份验证不当 发现时间 2024-04-26 漏洞等级 高危 MPS编号 MPS-djcs-koe8 CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 禅道(ZenTao)项目管理系统是国产开源管理软件,提供整套工具来帮助团队管理整个软件开发生命周期,包括需求管理、迭代计划、任务分配、缺陷跟踪、文档管理和测试用例管理等功能。…

    漏洞 2024年4月26日
    0