一、概要

近日，華為云安全團(tuán)隊(duì)關(guān)注到Apache官方發(fā)布一則安全通告，聲稱Apache Solr 8.2.0之前的版本存在一個(gè)嚴(yán)重級別的遠(yuǎn)程代碼執(zhí)行漏洞。該漏洞依賴DataImportHandler模塊，整個(gè)DIH配置可以來自請求的“dataConfig”參數(shù)，可以包含腳本，攻擊者可以利用該參數(shù)實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。

參考鏈接：

https://issues.apache.org/jira/browse/SOLR-13669

二、威脅級別

威脅級別：【嚴(yán)重】

（說明：威脅級別共四級：一般、重要、嚴(yán)重、緊急）

三、影響范圍

漏洞影響的產(chǎn)品版本包括：

Apache Solr < 8.2.0

安全版本為：

Apache Solr >= 8.2.0

四、處置方案

?  升級至Apache 8.2.0或更高版本，其默認(rèn)情況下是安全的（默認(rèn)情況下DataImportHandler模塊不啟用）;

?  編輯solrconfig.xml以使用“不變量”部分配置所有DataImportHandler用法，其中列出“dataConfig”參數(shù)設(shè)置為空字符串；

?  確保配置了網(wǎng)絡(luò)設(shè)置，以便只有受信任的流量與Solr通信，特別是與DIH請求處理程序通信。

注：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。