CVE-2024-45217 in Solr
要約
〜によって VulDB • 2026年08月31日
Apache Solrにおけるリソースの安全でないデフォルト初期化（Insecure Default Initialization of Resource）の脆弱性。
Restoreコマンドを介して作成される新しいConfigSetは、バックアップからconfigSetをコピーし、それに新しい名前を付けるが、「trusted」メタデータの設定なしで作成されます。「trusted」フラグを含まないConfigSetは、メタデータが存在しない場合に暗黙的に信頼されるため、認証されたリクエストを使用して作成されていない可能性のある「trusted」ConfigSetが生じます。
「trusted」Configセットはカスタムコードをクラスローダーに読み込むことができるため、「trusted」フラグはConfigSetのアップロード元のリクエストが認証済みかつ認可されている場合のみ設定されるべきです。
この問題は、Apache Solr 6.6.0から8.11.4未満および9.0.0から9.7.0未満に影響します。ただし、Authentication/Authorizationによって保護されたSolrインスタンスには影響しません。
ユーザーは主にSolr実行時にAuthenticationとAuthorizationを使用することを推奨されます。しかし、バージョン9.7.0または8.11.4にアップグレードすることでこの問題を緩和できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.