专栏名称: 深信服千里目安全实验室

深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。

Apache Solr 未授权文件上传漏洞CVE-2020-13957

深信服千里目安全实验室 · 公众号 · · 2020-10-13 20:38

正文

漏洞名称 ：Apache Solr 未授权文件上传漏洞CVE-2020-13957

威胁等级 ：高危

影响范围 ：

Apache Solr 6.6.0 - 6.6.5

Apache Solr 7.0.0 - 7.7.3

Apache Solr 8.0.0 - 8.6.2

漏洞类型 ：任意文件上传漏洞

漏洞分析

1 Apache Solr 组件介绍

Apache Solr是一个开源的搜索服务器。具有高度可靠、可伸缩和容错的，提供分布式索引、复制和负载平衡查询、自动故障转移和恢复、集中配置等功能。

Solr为世界上许多的互联网站点提供搜索和导航功能。Solr使用Java语言开发，主要基于HTTP和Apache Lucene实现。

Apache Solr中存储的资源是以Document 为对象进行存储的。每个文档由一系列的 Field构成，每个Field表示资源的一个属性。Solr中的每个Document需要有能唯一标识其自身的属性，默认情况下这个属性的名字是id，在Schema配置文件中使用： id 进行描述。

2 漏洞描述

10月12日Apache软件基金会发布安全公告，修复了Apache Solr未授权文件上传漏洞（CVE-2020-13957）。

Apache Solr Configset Api上传功能存在未授权文件上传漏洞。攻击者通过构造恶意请求，上传恶意文件，从而可以直接获取到服务器权限。

影响范围

受影响版本：

Apache Solr 6.6.0 - 6.6.5

Apache Solr 7.0.0 - 7.7.3

Apache Solr 8.0.0 - 8.6.2

修复建议

目前厂商已在最新版本修复该漏洞，请受影响的用户升级到Apache Solr 8.6.3最新版本，下载链接：

https://lucene.apache.org/solr/downloads.html

请到「今天看啥」查看全文

推荐文章

深圳大件事 · 香港队队员赛后遭围殴，对方3人被罚

昨天

深圳大件事 · 夜读 | 爱情里，如何处理好两人的“金钱观”分歧

2 天前

深圳特区报 · 超76亿元！《哪吒2》已破93项影史纪录

2 天前

深圳特区报 · 未来可期信心自来丨乙巳新春系列评论④

2 天前

深圳特区报 · 首金来了，祝贺李方慧！

3 天前

港剧剧透社 · 洪天明带儿子陪洪金宝度假　家蔚想追个女儿

8 年前

丁香医生 · 喝全脂奶容易胖？教你正确喝牛奶

7 年前

墨香中华 · 30篇绝美小古文：中文之美，尽在此间！

7 年前

左右青春 · 没有什么地方能比医院，更加深刻地揭露我们的人性

7 年前

潮人 · 潮流壁纸精选 | 2017-06-22

7 年前