Solr ConfigSet远程代码执行漏洞 (CVE-2023-50386)

漏洞类型 动态管理代码资源的控制不恰当 发现时间 2024-02-10 漏洞等级 中危
MPS编号 MPS-ovu7-lr9w CVE编号 CVE-2023-50386 漏洞影响广度

漏洞危害

OSCS 描述
Apache Solr是一个开源的搜索服务,使用Java语言开发,主要基于HTTP和Apache Lucene实现的。
在受影响的版本中,SolrCloud模式下 ConfigSets API接受Java jar和class文件上传。在备份Solr Collections时,使用LocalFileSystemRepository将配置文件保存到磁盘。当备份保存到Solr ClassLoader目录时,class文件可被ConfigSet引用加载,导致执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-ovu7-lr9w

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.solr:solr-core [6.0.0, 8.11.3) 升级 将 org.apache.solr:solr-core 升级至 8.11.3 及以上版本
缓解措施 对solr API访问开启鉴权机制
org.apache.solr:solr-core [9.0.0, 9.4.1) 升级 将 org.apache.solr:solr-core 升级至 9.4.1 及以上版本
缓解措施 对solr API访问开启鉴权机制
参考链接:https://www.oscs1024.com/hd/MPS-ovu7-lr9w

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-ovu7-lr9w

https://nvd.nist.gov/vuln/detail/CVE-2023-50386

https://solr.apache.org/security.html#cve-2023-50386-apache-solr-backuprestore-apis-allow-for-deployment-of-executables-in-malicious-configsets

https://issues.apache.org/jira/browse/SOLR-16480

(0)
上一篇 2024年2月12日 上午12:00
下一篇 2024年2月12日 上午12:00

相关推荐

  • Terraform<1.5.7 任意文件写入漏洞 (CVE-2023-4782)

    漏洞类型 路径遍历 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-krc8-d4u9 CVE编号 CVE-2023-4782 漏洞影响广度 广 漏洞危害 OSCS 描述 Terraform 是一个开源的基础设施即代码(IAC)工具,允许用户使用声明性语言定义和配置基础设施资源,如虚拟机、存储、网络等。多数国内外云厂商的基础设施自动化都在…

    2023年9月15日
    0
  • Apache Airflow ODBC Provider 远程代码执行漏洞 (CVE-2023-34395)

    漏洞类型 OS命令注入 发现时间 2023/6/27 漏洞等级 中危 MPS编号 MPS-9tea-y3fh CVE编号 CVE-2023-34395 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的任务和工作流管理平台,ODBC Provider 是 Apache Airflow 的一个数据库管理/插件。Apache …

    2023年8月31日
    0
  • Google Chrome<120.0.6099.199 存在堆缓冲区溢出漏洞 (CVE-2024-0223)

    漏洞类型 堆缓冲区溢出 发现时间 2024-01-04 漏洞等级 高危 MPS编号 MPS-0xpr-q1kb CVE编号 CVE-2024-0223 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。ANGLE 是 Google Chrome 中用于提供图形API的库,包括 OpenGL ES …

    2024年1月5日
    0
  • Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-51467)

    漏洞类型 凭据管理错误 发现时间 2023-12-26 漏洞等级 严重 MPS编号 MPS-qkfi-ya3x CVE编号 CVE-2023-51467 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。OFBiz支持运行 Grovvy代码来编程导出数据。 由于LoginWorker.java中使用if (…

    2023年12月27日
    0
  • Apache Kafka ACL配置错误漏洞 (CVE-2024-27309)

    漏洞类型 权限管理不当 发现时间 2024-04-12 漏洞等级 高危 MPS编号 MPS-pyb8-l75n CVE编号 CVE-2024-27309 漏洞影响广度 广 漏洞危害 OSCS 描述 Kafka 是 Apache 软件基金会的一种分布式的、基于发布/订阅的消息系统。 Apache Kafka在从ZooKeeper模式迁移到KRaft模式时存在A…

    漏洞 2024年4月15日
    0