PT-2021-18556 · Apache · Apache Solr

Geza Nagy · Publicado 2021-04-13 · Atualizado 2024-03-06 · CVE-2021-29943

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Solr anteriores à 8.8.2

Descrição

O problema ocorre ao usar o ConfigurableInternodeAuthHadoopPlugin para autenticação. Nesse cenário, as solicitações distribuídas são encaminhadas ou redirecionadas por meio de um proxy utilizando as credenciais do servidor, em vez das credenciais originais do cliente. Isso resulta em uma resolução incorreta da autorização nos hosts receptores.

Recomendações

Para versões anteriores à 8.8.2, atualize para a versão 8.8.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o uso do ConfigurableInternodeAuthHadoopPlugin para autenticação até que um patch esteja disponível. Restrinja o acesso a solicitações distribuídas para minimizar o risco de exploração.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BIT-SOLR-2021-29943

CVE-2021-29943

GHSA-VF7P-J8X6-XVWP

Produtos afetados

Apache Solr

Referências · 12

• https://security.netapp.com/advisory/ntap-20210604-0009 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-29943 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2021-29943 · Nota de Segurança
• https://lists.apache.org/thread.html/r91dd0ff556e0c9aab4c92852e0e540c59d4633718ce12881558cf44d%40%3Cusers.solr.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-solr-2021-29943 · Aviso do Fabricante
• https://t.me/cvenotify/13462 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-29943 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-29943 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vf7p-j8x6-xvwp · Aviso do Fabricante
• https://t.me/cvenotify/13143 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2021-29943 · Aviso do Fabricante
• https://t.me/cvenotify/15827 · Publicação no Telegram