CVE-2019-0193: fallo de gravedad alta en Apache Solr
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Apache Solr permite cargar configuraciones del módulo DataImportHandler desde solicitudes de usuarios, lo que puede incluir scripts maliciosos. Un atacante podría ejecutar código arbitrario en el servidor.
El CVE-2019-0193 afecta al módulo DataImportHandler de Apache Solr, que acepta configuraciones DIH a través del parámetro 'dataConfig' en solicitudes. Como las configuraciones DIH soportan ejecución de scripts, un atacante remoto no autenticado puede inyectar scripts maliciosos mediante este parámetro para lograr ejecución de código arbitrario. La mitigación requiere la propiedad del sistema Java 'enable.dih.dataConfigParam' configurada como true (deshabilitada por defecto en 8.2.0+).
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.