Apache Solr URL 路径身份验证绕过漏洞

1.漏洞概述

2024 年 10 月 17 日，安全运营中心监测到 Apache SolrURL 路径身份验证绕过 漏洞，漏洞编号：CVE-2024-45216，漏洞威胁等级：高危。

2.漏洞详情

Apache Solr是基于 Apache Lucene 构建的开源搜索平台。 受影响版本中由于 PKIAuthenticationPlugin 类未正确过滤用户的请求路径，当Solr 启用 PKIAuthenticationPlugin 插件用于身份验证时(需手动配置)，未授权的攻击者可在请求的 API URL 路径后添加恶意构造的结尾(:)绕过身份验证，窃取或 修改应用敏感信息。 补丁版本通过删除 PKIAuthenticationPlugin 类中的缺陷代码修复此漏洞。

3.影响版本

5.3.0<=solr<=solr

4.处置建议

将组件solr升级至9.7.0及以上版本，将组件 org.apache.solr:solr-core 升级至 8.11.4 及以上版本，将组件 org.apache.solr:solr-core 升级至 9.7.0 及 以上版本，将组件 solr 升级至 8.11.4 及以上版本。

https://solr.apache.org/security.html#cve-2024-45216-apache-solr-authentication-bypass-possible-using-a-fake-url-path-ending