一、事件背景

近日，Apache官方发布Apache Solr远程代码执行漏洞（CVE-2019-0193）安全通告，此漏洞存在于可选模块DataImportHandler中，DataImportHandler是用于从数据库或其他源提取数据的常用模块，该模块中所有DIH配置都可以通过外部请求的dataConfig参数来设置，由于DIH配置可以包含脚本，因此该参数存在安全隐患。

二、漏洞情况分析

Apache Solr 是美国阿帕奇（Apache）软件基金会的一款基于 Lucene（一款全文搜索引擎）的搜索服务器。该产品支持层面搜索、垂直搜索、高亮显示搜索结果等。

此次漏洞出现在Apache Solr的DataImportHandler，该模块是一个可选但常用的模块，用于从数据库和其他源中提取数据。

该漏洞源于用户在solrconfig.xml文件中设置了 DataImportHandler，开启了DataImport功能。DataImportHandler模块允许用户自己包含脚本，来进行配置。攻击者可以通过构造恶意的脚本交由转换器进行解析，在Solr解析的过程中并未对用户的输入做检查，可导致攻击者远程在Solr服务器上执行命令。

漏洞危害等级：高危

影响范围：适用于 Apache Solr

三、漏洞处置建议

将Apache Solr升级至8.2.0或更高的版本。

临时修复建议：

1、编辑solrconfig.xml，将所有用固定值配置的 DataImportHandler 用法中的dataConfig 参数设置为空字符串；

2、确保网络设置只允许可信的流量与 Solr 进行通信，特别是与 DIH 请求处理程序的通信。