PT-2025-2921 · Apache · Apache Solr

Rry · Publicado 2025-01-26 · Atualizado 2026-04-12 · CVE-2024-52012

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.6

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Versões do Apache Solr 6.6 a 9.7.0

Descrição O problema afeta instâncias do Solr em execução no Windows, permitindo acesso de escrita arbitrário a caminhos de arquivo devido à falta de sanitização de entrada na API de "configset upload". Isso é comumente conhecido como "zipslip", onde arquivos ZIP criados maliciosamente podem usar caminhos de arquivo relativos para gravar dados em partes não previstas do sistema de arquivos.

Recomendações As versões do Apache Solr 6.6 a 9.7.0 devem ser atualizadas para a versão 9.8.0 para corrigir o problema. Alternativamente, usuários que não possam atualizar podem prevenir o problema com segurança utilizando o "Rule-Based Authentication Plugin" do Solr para restringir o acesso à API de "configset upload", permitindo que ela seja acessada apenas por um conjunto confiável de administradores/usuários.

Correção

RCE

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

BDU:2025-05248

BIT-SOLR-2024-52012

CVE-2024-52012

GHSA-4P5M-GVPF-F3X5

Produtos afetados

Apache Solr

Referências · 30

• https://github.com/apache/solr · Nota
• https://github.com/apache/solr/commit/5795edd143b8fcb2ffaf7f278a099b8678adf396 · Nota
• https://issues.apache.org/jira/browse/SOLR-17543 · Nota
• https://twitter.com/TMJIntel/status/1884262913159962772 · Publicação no Twitter
• https://twitter.com/oss_security/status/1883538231301665118 · Publicação no Twitter
• https://securityonline.info/apache-solr-vulnerabilities-cve-2024-52012-and-cve-2025-24814-expose-systems-to-file-write-and-code-execution-risks · Nota
• https://reddit.com/r/CVEWatch/comments/1sif2hj/top_10_trending_cves_11042026 · Publicação no Reddit
• https://twitter.com/tom4ta/status/1883982730100379997 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-05248 · Nota de Segurança
• https://reddit.com/r/CVEWatch/comments/1sjagpl/top_10_trending_cves_12042026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2024-52012 · Aviso do Fabricante
• https://vuldb.com/?id.293478 · Nota
• https://osv.dev/vulnerability/GHSA-4p5m-gvpf-f3x5 · Aviso do Fabricante
• https://reddit.com/r/CVEWatch/comments/1sif2hl/top_10_trending_cves_11042026 · Publicação no Reddit
• https://t.me/cvenotify/108659 · Publicação no Telegram