Apache Solr远程号令执行缝隙安全公告
颁布功夫 2019-08-07? 缝隙编号和级别
CVE编号：CVE-2019-0193，危险级别：严沉，CVSS分值：官方未评定
? 影响版本
受影响的版本
合用于Apache Solr < 8.2.0 。
? 缝隙概述
Apache Solr是美国阿帕奇（Apache）软件基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器 。该产品支持层面搜索、垂直搜索、高亮显示搜索了局等 。
这次缝隙呈此刻Apache Solr的DataImportHandler，该�？槭且桓隹裳〉Ｓ玫哪？�，用于从数据库和其他源中提取数据 。
该缝隙源于用户在solrconfig.xml文件中设置了DataImportHandler，开启了DataImport职能 。DataImportHandler�？樵市碛没ё约涸毯绫�，来进行配置 。攻击者能够通过机关恶意的剧本交由转换器进行解析，在Solr解析的过程中并未对用户的输入做查抄，可导致攻击者远程在Solr服务器上执行号令 。
? 缝隙验证
EXP: https://github.com/xConsoIe/CVE-2019-0193 。
? 建复建议
将Apache Solr升级至8.2.0或更高的版本 。
一时建复建议：
1、编纂solrconfig.xml，将所有效固定值配置的DataImportHandler用法中的dataConfig参数设置为空字符串 ；
2、确保网络设置只允许可信的流量与Solr进行通讯，出格是与DIH要求处置法式的通讯 。
? 参考链接
https://issues.apache.org/jira/browse/SOLR-13669
京公网安备11010802024551号