Apache Solr 身份驗(yàn)證繞過(guò)漏洞預(yù)警（CVE-2024-45216）

2024-10-30

一、概要

近日，華為云關(guān)注到Apache Solr官方發(fā)布安全公告，披露在特定的Apache Solr版本中PKIAuthenticationPlugin（該插件在使用Solr身份驗(yàn)證時(shí)默認(rèn)啟用）存在身份驗(yàn)證繞過(guò)漏洞（CVE-2024-45216），未授權(quán)的攻擊者可通過(guò)在Solr API URL結(jié)尾添加虛假路徑繞過(guò)Solr的身份驗(yàn)證，成功利用可獲取敏感數(shù)據(jù)或執(zhí)行其他惡意操作。目前POC已公開(kāi)，風(fēng)險(xiǎn)較高。

Apache Solr是一個(gè)可擴(kuò)展的，可部署，搜索，存儲(chǔ)，優(yōu)化搜索，以大量文本為中心的數(shù)據(jù)庫(kù)優(yōu)化的全文搜索平臺(tái)。華為云提醒使用Apache Solr的用戶(hù)及時(shí)安排自檢并做好安全加固。

參考鏈接：

https://github.com/apache/solr/commit/bd61680bfd351f608867739db75c3d70c1900e38

https://solr.apache.org/security.html#cve-2024-45216-apache-solr-authentication-bypass-possible-using-a-fake-url-path-ending

二、威脅級(jí)別

威脅級(jí)別：【嚴(yán)重】

（說(shuō)明：威脅級(jí)別共四級(jí)：一般、重要、嚴(yán)重、緊急） 

三、漏洞影響范圍

影響版本：

5.3.0 <= Apache solr < 8.11.4

9.0.0 <= Apache solr < 9.7.0

安全版本：

Apache Solr 8.11.4

Apache Solr 9.7.0

四、漏洞處置

目前官方已在高版本中修復(fù)了該漏洞，請(qǐng)受影響的用戶(hù)升級(jí)至安全版本：

https://solr.apache.org/downloads.html

注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。