Apache Solr是一个开源的搜索服务，使用Java语言开发。
Apache Solr Configset Api上传功能存在漏洞。
攻击者可以构造特定请求，上传恶意配置文件修改配置，然后通过其他方式执行恶意代码，从而直接获取到服务器权限。
鉴于漏洞危害较大，建议客户升级到最新版本。
Solr是Apache Lucene项目的开源企业搜索平台。其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成，以及富文本的处理。Solr是高度可扩展的，并提供了分布式搜索和索引复制。Solr是最流行的企业级搜索引擎。Solr默认可未授权访问。Solr默认禁止一些可能用于远程代码执行的危险功能，远程攻击者可通过ConfigSets API上传功能的漏洞上传solrconfig配置文件，修改敏感参数配置。成功修改配置后可结合其他方式实现远程代码执行。
奇安信CERT第一时间复现了该漏洞，复现截图如下：
奇安信 CERT风险评级为：
高危
风险等级：
蓝色（一般事件）
Apache solr 6.6.0 - 6.6.5
Apache solr 7.0.0 - 7.7.3
Apache solr 8.0.0 - 8.6.2
1、如果未使用ConfigSets API，请禁用UPLOAD命令，禁用方法：通过修改设置系统属性：从“ configset.upload.enabled”更改为“ false” 。更多详细配置请参考：https://lucene.apache.org/solr/guide/8_6/configsets-api.html
2、使用身份验证/授权，确保未知请求不被允许。
更多详细配置请参考：https://lucene.apache.org/solr/guide/8_6/authentication-and-authorization-plugins.html
3、升级到Solr 8.6.3或更高版本；
4、如果无法升级，请考虑应用SOLR-14663公告中的补丁进行修改：
https://issues.apache.org/jira/browse/SOLR-14663
5、不要将Solr API（包括Admin UI）暴露给不受信任的第三方，调整防火墙配置，确保只有受信任IP和用户才能访问。
Apache Solr提供了便捷的API方便管理，利用ConfigSets API使您可以创建、删除和以其他方式管理ConfigSets，且不需要额外的身份验证。
上传ConfigSet示例：
这里我们可以自定义myconfigset.zip中的solrconfig.xml文件，这里我们可以修改配置文件中的某些敏感参数，达到RCE的目的。再结合Collections API，利用myconfigset，创建新的collection。
利用新的Collection执行命令。
奇安信网神天堤防火墙产品防护方案
奇安信新一代智慧防火墙（NSG3000/5000/7000/9000系列）和下一代极速防火墙（NSG3500/5500/7500/9500系列）产品系列，已通过更新IPS特征库完成了对该漏洞的防护。建议用户尽快将IPS特征库升级至” 2010131600” 及以上版本并启用规则ID: 1226901进行检测防御。
奇安信开源卫士已更新
奇安信开源卫士通过更新到20201013. 453版本，支持对Apache Solr ConfigSet Api上传功能漏洞的检测。
奇安信网神统一服务器安全管理平台更新入侵防御规则库
奇安信网神虚拟化安全轻代理版本可通过更新入侵防御规则库2020.10.16版本，支持对Apache Solr ConfigSet Api上传功能漏洞的防护，当前规则正在测试中，将于10月16日发布，届时请用户联系技术支持人员获取规则升级包对轻代理版本进行升级。
奇安信网神统一服务器安全管理平台可通过更新入侵防御规则库10301版本，支持对Apache Solr ConfigSet Api上传功能漏洞的防护，当前规则正在测试中，将于10月16日发布，届时请用户联系技术支持人员获取规则升级包对融合版本进行升级。
奇安信网站应用安全云防护系统已更新防护特征库
奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Apache Solr ConfigSet Api上传功能漏洞的防护。
奇安信网神网络数据传感器系统产品检测方案
奇安信网神网络数据传感器（NDS3000/5000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：5937，建议用户尽快升级检测规则库至2010131740以后版本并启用该检测规则。
奇安信天眼产品解决方案
奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则，请将规则包升级到3.0.1013.12432及以上版本。规则名称：Apache Solr ConfigSet Api上传功能漏洞，规则ID：0x10020B46。奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。
[1] https://issues.apache.org/jira/browse/SOLR-14925
2020年10月13日，奇安信 CERT发布安全风险通告
奇安信CERT致力
于
第
一时间
为企业级客户提供
安全风险通告和有效的解决方案
