利用发布的代码解决两个危险的Apache Solr远程执行代码缺陷

在这两个错误中，一个在夏天收到了补丁，而第二个尚未由Solr团队解决。

攻击势必会发生，因为Apache Solr是一种高级工具，经常在企业网络内部使用以支持强大的数据搜索功能，对于希望在高价值网络内部或可访问大型计算资源的服务器中寻找方法的黑客而言，这是一个理想的工具。

第一个错误：CVE-2019-12409

第一个错误是一个在夏天报告并修复的问题。该漏洞跟踪为CVE-2019-12409，它涉及所有新Solr实例随附的solr.in.sh配置文件中的默认设置。

根据一份报告，Solr版本8.1.1和8.2.0附带将ENABLE_REMOTE_JMX_OPTS选项设置为启用，从而将端口18983暴露给远程连接。

在报道时，Apache Solr团队并不认为这个问题有什么大不了的，开发人员认为攻击者只能访问Solr监视数据，而没有其他访问权限。

但是，上周发布了概念验证代码，显示了攻击者如何利用此错误通过暴露的端口上传恶意代码，并接管易受攻击的Solr实例。

解决此问题的方法应该很简单，例如将solr.in.sh文件中的ENABLE_REMOTE_JMX_OPTS参数切换为 false”，或者将Solr更新为上个月发布的版本8.3.0。

Solr团队说，只有Linux上运行的Solr版本受此问题影响。

第二个错误：零时差(尚无CVE)

但是，这两个漏洞中最危险的错误是尚未正式修复的错误。根据Tenable团队的分析，此错误会影响7.7.2到8.3.0之间的所有Apache Solr版本(当前版本)。

可通过通过Solr服务器的端口3839放置格式错误的HTTP请求来利用此错误，该端口使用Config API中的错误将solrconfig.xml配置文件中的选项切换为true。

一旦将此选项(params.resource.loader.enabled)设置为true，攻击者便可以在Solr服务器上上载Apache Velocity模板文件并运行恶意代码来劫持服务器。

第二个问题在10月底曝光，当时用户在GitHub上发布了概念验证代码，显示了攻击者如何滥用该错误。

两天后，第二个更完善的概念验证代码在网上发布，这使得攻击更容易执行。

未检测到攻击，但可以预期

好消息是，在撰写本文时，还没有在野外发现任何攻击。但是，这只是时间问题。

Apache Solr实例通常可以访问大量的计算资源，并且从历史上看，恶意软件帮派一直将其作为目标。

例如， 在漏洞详细信息和利用代码公开后的几周内，黑客就将CVE-2017-12629和CVE-2019-0193定位为黑客。在这两种情况下，攻击者都使用这两个漏洞访问了Solr服务器，并在未打补丁的服务器上植入了加密货币挖掘恶意软件。

因为我们知道这两个新的Solr错误可能导致远程执行代码，并且我们拥有易于使用的公共利用代码，所以专家希望此安全漏洞在数天或数周内受到主动攻击。

文章于11月26日更新，以添加有关第二个Solr错误的详细信息。文章的大部分内容都是从头开始重写的，以明确其中有两个错误。标题相应地提高了。