新闻资讯
全部分类

一文排查Apache Solr远程代码执行漏洞CVE-2019-12409

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2020-08-17 18:29
  • 访问量:

【概要描述】Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞CVE-2019-12409,快来参照本文的解决方案来排查受影响的版本吧~~~

一文排查Apache Solr远程代码执行漏洞CVE-2019-12409

【概要描述】Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞CVE-2019-12409,快来参照本文的解决方案来排查受影响的版本吧~~~

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2020-08-17 18:29
  • 访问量:
详情

  背景介绍

  Solr是一个采用Java5开发、基于Lucene的全文高性能搜索服务,同时对其进行了扩展,提供了比Lucene更为丰富的查询语言,同时实现了可配置、可扩展并对查询性能进行了优化,并且提供了一个完善的功能管理界面。Java ManagementExtensions(JMX- 即Java管理扩展)是一种Java技术,为管理和监视应用程序、系统对象、设备(如打印机)和面向服务的网络提供相应的工具。其实很多人都用过Solr,说出来很多人不信,但事实如此,每当你想买自己喜欢的东东时,你可能会打开某宝或者某东,像这样一搜,就能搜到很多东西,你知道你看到的这些数据都来自哪儿吗?不错,就是solr提供的。solr本身也可以看成数据库,(no sql类型​),但它比数据库搜索速度更快,所以在项目中一般把搜索的部分交给solr,就像在某东首页所看到的商品信息,并不是来自数据库,而是来源于sorl的索引库。

 

 

  

  漏洞说明

  当地时间2019年11月18日,Apache Solr官方发布一则官方通告称部分ubuntu版本的Solr存在一个远程代码执行漏洞(CVE-2019-12409)。该漏洞源于默认配置文件solr.in.sh中的ENABLE_REMOTE_JMX_OPTS配置选项存在安全风险,JMX 作为 Java的一种Bean管理机制,如果JMX服务端口暴露,那么远程攻击者可以让该服务器远程加载恶意的Bean文件,随着Bean的滥用导致远程代码执行。截至2020年7月23日Apache Solr官方尚未发布补丁修复该漏洞,可能是因为对部分linux系统下的solr有影响,对windows系统不受影响,对此用户可根据提供的缓解措施,参照本文的解决方案来排查受影响的版本。

  l Apache Solr 8.2.0 for Ubuntu;

  l Apache Solr 8.1.1 for ubuntu。

 

  环境搭建

  操作系统:Ubuntu 18.04(虚拟机)192.168.113.135;

  中间件版本:Solr 8.2.0;

  工具:Metasploit。

 

  靶场搭建过程

  下载solr8.2.0版本

  http://archive.apache.org/dist/lucene/solr/8.2.0/。

  

 

  进入solr-8.2.0/bin目录下,查看solr.in.sh,发现ENABLE_REMOTE_JMX_OPTS="true",该版本存在漏洞。

  

 

  

 

  在bin目录下启动solr服务 ./solr -e dih -force。

  

 

  使用nmap可以看到18983端口上的JMX服务开启中。

  

 

  访问一下192.168.113.135:8983/solr/#/,至此环境搭建成功。

  

 

  

  靶场以及漏洞利用过程

  Java 环境如下。

  

 

  利用msf 上exploit/multi/misc/java_jmx_server远程代码执行模块进行漏洞利用。

  注意点:一定要保证此漏洞是存在的,在前面的solr.in.sh文件中配置。

  

 

  

 

  注意点:在配置文件中solr.in.sh,一定要打开18983 端口,方才成功连接。

  

 

  成功接收到shell。

 

  防范及修复建议

  l 配置文件solr.in.sh的配置选项ENABLE_REMOTE_JMX_OPTS值改为”false”,然后重启;

  l 升级Solr版本;

  l 同时,用户应确认在Solr的管理员界面中的“Java Properties”选项中不包含 “com.sun.management.jmxremote*”的相关属性信息;

  l 保证 Solr 集群只能被可信任端点访问;

  l 启用 Solr JMX 服务身份验证;

  l 关闭 Solr JMX 服务。

 

  参考资源

  [1]http://blog.nsfocus.net/cve-2019-12409/

  [2]https://github.com/mogwailabs/mjet

  [3]https://www.pianshen.com/article/2318951168/

关键词:

相关文件

暂时没有内容信息显示
请先在网站后台添加数据记录。
天地和兴

公司总部:北京市海淀区中关村软件园8号华夏科技大厦三层

服务热线:400-810-8981 / 010-82896289

版权所有:北京天地和兴科技有限公司      京ICP备17065546号-1

扫一扫关注

天地和兴微信公众号