一、概要

近日，Apache官方發(fā)布一則關(guān)于開源企業(yè)級(jí)搜索平臺(tái)Solr 的安全公告，當(dāng)中披露了一個(gè)嚴(yán)重等級(jí)的遠(yuǎn)程反序列化代碼執(zhí)行漏洞（CVE-2019-0192）。由于Solr的ConfigAPI允許通過HTTP POST請(qǐng)求配置Solr的JMX Server端。攻擊者可以利用其特性將其指向惡意的RMI / LDAP服務(wù)，通過java的ObjectInputStream響應(yīng)任意對(duì)象，從而觸發(fā)對(duì)象在Solr端的反序列化遠(yuǎn)程代碼執(zhí)行。

華為云提醒各位租戶及時(shí)安排自檢并做好安全加固。

利用漏洞：CVE-2019-0192

參考鏈接：

https://issues.apache.org/jira/browse/SOLR-13301?spm=a2c4g.11174386.n2.4.3cc21051uLaml0

二、威脅級(jí)別

威脅級(jí)別：【嚴(yán)重】

（說明：威脅級(jí)別共四級(jí)：一般、重要、嚴(yán)重、緊急。）

三、影響范圍

Apache Solr < 7.0.0

四、修復(fù)方案

·  升級(jí)到Apache Solr 7.0或更高版本。

·  如果不使用ConfigAPI，請(qǐng)通過系統(tǒng)屬性disable.configEdit = true運(yùn)行Solr來禁用ConfigAPI。

·  如果升級(jí)或禁用Config API不可行，請(qǐng)應(yīng)用SOLR-13301.patch并重新編譯Solr。

·  通過修改網(wǎng)絡(luò)訪問配置，設(shè)置只允許受信任的流量進(jìn)出運(yùn)行Solr的主機(jī)。

注意：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。