一文排查Apache Solr远程代码执行漏洞CVE-2019-12409
- 分类:行业洞察
- 作者:
- 来源:
- 发布时间:2020-08-17 18:29
- 访问量:
【概要描述】Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞CVE-2019-12409,快来参照本文的解决方案来排查受影响的版本吧~~~
一文排查Apache Solr远程代码执行漏洞CVE-2019-12409
【概要描述】Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞CVE-2019-12409,快来参照本文的解决方案来排查受影响的版本吧~~~
- 分类:行业洞察
- 作者:
- 来源:
- 发布时间:2020-08-17 18:29
- 访问量:
背景介绍
Solr是一个采用Java5开发、基于Lucene的全文高性能搜索服务,同时对其进行了扩展,提供了比Lucene更为丰富的查询语言,同时实现了可配置、可扩展并对查询性能进行了优化,并且提供了一个完善的功能管理界面。Java ManagementExtensions(JMX- 即Java管理扩展)是一种Java技术,为管理和监视应用程序、系统对象、设备(如打印机)和面向服务的网络提供相应的工具。其实很多人都用过Solr,说出来很多人不信,但事实如此,每当你想买自己喜欢的东东时,你可能会打开某宝或者某东,像这样一搜,就能搜到很多东西,你知道你看到的这些数据都来自哪儿吗?不错,就是solr提供的。solr本身也可以看成数据库,(no sql类型),但它比数据库搜索速度更快,所以在项目中一般把搜索的部分交给solr,就像在某东首页所看到的商品信息,并不是来自数据库,而是来源于sorl的索引库。
漏洞说明
当地时间2019年11月18日,Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞(CVE-2019-12409)。该漏洞源于默认配置文件solr.in.sh中的ENABLE_REMOTE_JMX_OPTS配置选项存在安全风险,JMX 作为 Java的一种Bean管理机制,如果JMX服务端口暴露,那么远程攻击者可以让该服务器远程加载恶意的Bean文件,随着Bean的滥用导致远程代码执行。截至2020年7月23日Apache Solr官方尚未发布补丁修复该漏洞,可能是因为对部分linux系统下的solr有影响,对windows系统不受影响,对此用户可根据提供的缓解措施,参照本文的解决方案来排查受影响的版本。
l Apache Solr 8.2.0 for Ubuntu;
l Apache Solr 8.1.1 for ubuntu。
环境搭建
操作系统:Ubuntu 18.04(虚拟机)192.168.113.135;
中间件版本:Solr 8.2.0;
工具:Metasploit。
靶场搭建过程
下载solr8.2.0版本
http://archive.apache.org/dist/lucene/solr/8.2.0/。
进入solr-8.2.0/bin目录下,查看solr.in.sh,发现ENABLE_REMOTE_JMX_OPTS="true",该版本存在漏洞。
在bin目录下启动solr服务 ./solr -e dih -force。
使用nmap可以看到18983端口上的JMX服务开启中。
访问一下192.168.113.135:8983/solr/#/,至此环境搭建成功。
靶场以及漏洞利用过程
Java 环境如下。
利用msf 上exploit/multi/misc/java_jmx_server远程代码执行模块进行漏洞利用。
注意点:一定要保证此漏洞是存在的,在前面的solr.in.sh文件中配置。
注意点:在配置文件中solr.in.sh,一定要打开18983 端口,方才成功连接。
成功接收到shell。
防范及修复建议
l 配置文件solr.in.sh的配置选项ENABLE_REMOTE_JMX_OPTS值改为”false”,然后重启;
l 升级Solr版本;
l 同时,用户应确认在Solr的管理员界面中的“Java Properties”选项中不包含 “com.sun.management.jmxremote*”的相关属性信息;
l 保证 Solr 集群只能被可信任端点访问;
l 启用 Solr JMX 服务身份验证;
l 关闭 Solr JMX 服务。
参考资源
[1]http://blog.nsfocus.net/cve-2019-12409/
[2]https://github.com/mogwailabs/mjet
[3]https://www.pianshen.com/article/2318951168/

公司总部:北京市海淀区西北旺东路10号院博彦科技大厦C座6层
服务热线:400-810-8981 / 010-56380988
版权所有: 北京天地和兴科技有限公司 京ICP备17065546号-1 京公网安备 11010802040756号

扫一扫关注
天地和兴微信公众号