Kritische Lücke in Apache Solr

Author: michaelkarbach
Publication Date: 3/18/2019 14:52

Seit 7. März ist ein Sicherheitslücke in Solr für Versionen vor Solr 7.0 bekannt, welche aufgrund der genutzten Version 6.5 derzeit auch haupia betrifft. Siehe: https://issues.apache.org/jira/browse/SOLR-13301

Diese Sicherheitslücke kann bei Zugang zur Solr-Instanz potentiell für Angriffe genutzt werden:

"ConfigAPI allows to set a jmx.serviceUrl that will create a new JMXConnectorServerFactory and trigger a call with 'bind' operation to a target RMI/LDAP server. A malicious RMI server could respond with arbitrary object that will be deserialized on the Solr side using java's ObjectInputStream, which is considered unsafe. This type of vulnerabilities can be exploited with ysoserial tool. Depending on the target classpath, an attacker can use one of the "gadget chains" to trigger Remote Code Execution on the Solr side."

Obwohl die Solr-Instanzen nur von haupia verwendet werden und nicht nach außen freigegeben sein sollten, empfehlen wir hier als eine Möglichkeit der Absicherung die Config API zu deaktivieren:

"Disable the ConfigAPI if not in use, by running Solr with the system property disable.configEdit=true"

Um dies zu erreichen, sollte dem Solr-Prozess beim Start die Option: "-Ddisable.configEdit=true" mitgegeben werden. Dies kann durch direktes Anhängen an den Solr-Start-Aufruf geschehen: Z.B. "./solr -c -z localhost:2181/solr -m 2g -Ddisable.configEdit=true"

Alternativ kann die Datei "solr.in.sh/cmd" angepasst werden, welche üblicherweise direkt neben den Solr-Start-Skripten liegt. Hier wäre folgendes einzutragen: "SOLR_OPTS="$SOLR_OPTS [...] -Ddisable.configEdit=true""

Sollten weitere Fragen zu diesem Thema oder Probleme bei der Konfiguration bestehen, stehen wir gerne hier oder unter: https://help.e-spirit.com/hc/de bereit.