CVE-2017-7660
Açıklama
Apache Solr, güvenlik etkinleştirildiğinde düğümler arası iletişimi güvence altına almak için PKI tabanlı bir mekanizma kullanır. Kümenin parçası olarak mevcut olmayan, özel olarak hazırlanmış bir düğüm adı oluşturmak ve bunu kötü amaçlı bir düğüme yönlendirmek mümkündür. Bu durum, kümedeki düğümleri kötü amaçlı düğümün kümenin bir üyesi olduğuna inandırabilir. Dolayısıyla, Solr kullanıcıları BasicAuthPlugin kullanarak BasicAuth kimlik doğrulama mekanizmasını etkinleştirmişse veya kullanıcı "HttpClientInterceptorPlugin" ya da "HttpClientBuilderPlugin" bileşenlerini uygulamayan özel bir Authentication eklentisi geliştirmişse, sunucuları bu saldırıya karşı savunmasızdır. Yalnızca temel kimlik doğrulama olmadan SSL kullananlar veya Kerberos kullananlar etkilenmemektedir.
Nasıl düzeltilir
- org.apache.solr:solr-core5.5.5, 6.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache solr | 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1, 5.5.0, 5.5.1, 5.5.2, 5.5.3, 5.5.4, 6.0.0, 6.0.1, 6.1.0, 6.2.0, 6.2.1, 6.3.0, 6.4.0, 6.4.1, 6.4.2, 6.5.0, 6.5.1 | — |
| org.apache.solr:solr-coreMaven | 5.3.0 ≤ v < 5.5.5, 6.0.0 ≤ v < 6.6.0 | 5.5.5, 6.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.