1、基本情况

　　Solr 是 Apache Lucene 项目的开源企业搜索平台。其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成，以及富文本的处理。Solr 是高度可扩展的，并提供了分布式搜索和索引复制。

　　近日，监测发现 solr 发布了 solr 文件上传漏洞的风险通告，该漏洞编号为 CVE-2020-13957 ，漏洞等级：高危。攻击者可以通过结合 UPLOAD/CREATE 这两个 ACTION 在 ConfigSet API 上进行未授权操作，可以造成获取服务器权限的影响。对此，建议广大用户及时将 solr 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2、影响范围

　　受影响版本

　　 apache:solr : 6.6.0 - 6.6.5

　　 apache:solr : 7.0.0 - 7.7.3

　　 apache:solr : 8.0.0 - 8.6.2

3、处置建议

　　修补建议：

　　1.如果未使用ConfigSets API，请禁用UPLOAD命令，将系统属性： configset.upload.enabled 为 false ，详细参考：

　　https://lucene.apache.org/solr/guide/8_6/configsets-api.html

　　2.使用身份验证/授权，详细参考：

　　https://lucene.apache.org/solr/guide/8_6/authentication-and-authorization-plugins.html

　　3.在SOLR-14663中应用修补程序： 

　　https://issues.apache.org/jira/browse/SOLR-146634

　　任何 Solr API ，包括管理 UI ，都不向未授权一方公开。设置防火墙，以便只允许受信任的计算机和人员访问。

4、参考链接

　　1）https://www.mail-archive.com/announce@apache.org/msg06149.html