CVE-2019-0193
CISA 기관 조치 기한: 2022-06-10
Apache Solr
영향 패키지: maven/org.apache.solr:solr-core
Qualys 위협 인텔 · 심각도 4/5 · QID 13543 · CGI
공개 익스플로잇
실제 공격 관측
측면이동
대량 데이터 유출
서비스 거부
고위험 예측
원격코드실행
CISA KEV
In Apache Solr, the DataImportHandler, an optional but popular module to pull in data from databases and other sources, has a feature in which the whole DIH configuration can come from a request's "dataConfig" parameter. The debug mode of the DIH admin screen uses this to allow convenient debugging / development of a DIH config. Since a DIH config can contain scripts, this parameter is a security risk. Starting with version 8.2.0 of Solr, use of this parameter requires setting the Java System property "enable.dih.dataConfigParam" to true.
KEV 필수 조치: Apply updates per vendor instructions.
타임라인
- NVD 공개
- CISA KEV 등재(실제 악용 확인) 공개 후 862일
- CISA 기관 조치 기한 경과
날짜 정보 없는 신호: 공개 PoC 4건 실제 공격 관측
벡터: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
공개 익스플로잇 / PoC
- GitHub 공개 PoC 4건 — 대표 레포 ↗