九游老哥云
【清静威胁通告】Apache Solr远程下令执行误差 威胁预警通告
2019-10-31
综述
今日，外洋的清静研究员_S00pY在GitHub宣布了关于Apache Solr使用Velocity模板来告竣远程下令执行的POC 。九游老哥科技研究职员经剖析后确认该POC有用，造成的影响较大 。Apache Solr官方尚未宣布相关补丁修复该误差 。
参考链接：
https://gist.github.com/s00py/a1ba36a3689fa13759ff910e179fc133
九游老哥科技预警级别：【蓝色】
级别界说请参考后文九游老哥科技清静预警定级说明部分
影响产品版本
详细影响版本未知，经测试以下版本受影响：
l Apache Solr 8.2.0 （最新版本）
不受影响产品版本
Apache Solr现在尚未宣布新版本修复该误差
解决计划
Apache Solr官方尚未宣布补丁修复该误差，请用户坚持关注 。
https://lucene.apache.org/solr/
用户可以检查是否保存Configoverlay.json设置文件，并且确保其中的 “solr.resource.loader.enabled”设置为False并且开启Solr实例清静认证来举行暂时防护 。
九游老哥科技清静预警定级说明
|
级别 |
级别说明 |
手艺剖析效果 |
检测与防护升级包 |
|
红色 |
影响规模极大，危害极高，使用难度低 |
12小时 |
16小时 |
|
橙色 |
影响规模较广，危害严重，使用难度较低 |
12小时 |
16小时 |
|
黄色 |
影响规模可控，危害水平可控，使用难度较高 |
12小时 |
16小时 |
|
蓝色 |
影响较小，危害水平较小，使用条件苛刻 |
- |
周例行 |
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
关于九游老哥科技
北京神州九游老哥信息清静科技股份有限公司（简称九游老哥科技）建设于2000年4月，总部位于北京 。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行 。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务 。
北京神州九游老哥信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市，股票简称：九游老哥科技，股票代码：300369 。
