一、基本情况

近日，监测发现Apache官网发布了Apache Solr 8.6.3新版本，修复了Solr 8.6.2及之前版本中ConfigSets API存在文件上传的漏洞，漏洞编号：CVE-2020-13957，攻击者可通过构造特定请求，上传相关恶意文件，从而直接获取到服务器权限。目前厂商已发布修复版本，建议受影响用户尽快升级到修复版本，做好资产自查以及预防工作，以免遭受黑客攻击。

二、漏洞详情

Apache Solr是一个开源的搜索服务,使用Java编写、运行在Servlet容器的一个独立的全文搜索服务器，是Apache Lucene项目的开源企业搜索平台。

该漏洞存在于Apache Solr使用Configsets API功能，攻击者在未经身份验证或授权的情况下，可以利用ConfigSet API中UPLOAD或CREATE进行任意文件上传，对目标机器执行任意代码攻击，从而获取服务器权限。

三、影响范围

Apache Solr 6.6.0 - 6.6.5

Apache Solr 7.0.0 - 7.7.3

Apache Solr 8.0.0 - 8.6.2

四、处置建议

目前，Apache官方已发布Solr 8.6.3版本，下载地址：

https://issues.apache.org/jira/browse/SOLR-14663

五、参考链接

https://www.mail-archive.com/announce@apache.org/msg06149.html

支持单位：

上海观安信息技术股份有限公司

杭州安恒信息技术股份有限公司

北京天融信网络安全技术有限公司

中国信息通信研究院

声明：本文来自网络安全威胁信息共享平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。