CVE-2026-22022 in Solr
Riassunto
di VulDB • 24/06/2026
Le installazioni di Apache Solr dalla versione 5.3.0 alla 9.10.0 che fanno affidamento sul "Rule Based Authorization Plugin" (Plugin di autorizzazione basato su regole) di Solr sono vulnerabili a un accesso non autorizzato ad alcune API di Solr, a causa di una convalida dell'input insufficientemente rigorosa in tali componenti. Solo le installazioni che soddisfano tutti i seguenti criteri sono interessate da questa vulnerabilità:
* Utilizzo del "RuleBasedAuthorizationPlugin" di Solr * Una configurazione di RuleBasedAuthorizationPlugin (vedere security.json) che specifica più "ruoli" ("roles") * Un elenco di autorizzazioni per il RuleBasedAuthorizationPlugin (vedere security.json) che utilizza una o più delle seguenti regole di autorizzazione predefinite: "config-read", "config-edit", "schema-read", "metrics-read" oppure "security-read". * Un elenco di autorizzazioni del RuleBasedAuthorizationPlugin che non definisce l'autorizzazione predefinita "all" (tutte) * Una configurazione di rete che consente ai client di effettuare richieste di rete non filtrate verso Solr. (ovvero, le richieste HTTP/HTTPS inviate dagli utenti raggiungono Solr così come sono state inviate, senza modifiche o restrizioni da parte di eventuali proxy o gateway intermediari)
Gli utenti possono mitigare questa vulnerabilità assicurandosi che la configurazione del RuleBasedAuthorizationPlugin specifichi l'autorizzazione predefinita "all" e associ tale autorizzazione a un ruolo "admin" o ad altro ruolo con privilegi elevati. Gli utenti possono anche eseguire l'aggiornamento a una versione di Solr al di fuori dell'intervallo interessato, come la recentemente rilasciata Solr 9.10.1.
Once again VulDB remains the best source for vulnerability data.