漏洞通报｜Apache Solr上传功能漏洞CVE-2020-13957
近日，Apache Solr修复了ConfigSet API上传功能中的一个漏洞，当用户通过ConfigSets API 执行UPLOAD操作上传 ConfigSet 时，如果开启了身份验证，并且该上传请求已经过了验证，则会以“trusted”模式上传ConfigSet。不启用身份验证时，ConfigSet则以“untrusted”模式上传。当上传未开启验证时，如果修改ConfigSets 配置文件里的敏感参数，再结合CREATE创建新的 ConfigSet。最终新 ConfigSet 创建的 collection 可能造成命令执行。
目前，该漏洞编号为CVE-2020-13957，由于该漏洞已发现有非法组织利用该漏洞进行攻击，因此如有使用，建议进行紧急修复。
根据官方建议，提供如下处置方案，请用户自行进行影响评估，并对业务文件备份后，再执行操作，建议先在测试系统验证后再修复生产环境
https://lucene.apache.org/solr/downloads.html
如果未使用ConfigSets API UPLOAD 操作，可将其禁用：
通过运行时参数禁用 -Dconfigset.upload.enabled=false。详情参考：
https://lucene.apache.org/solr/guide/8_6/configsets-api.html
开启身份验证/授权，详情参考：
https://lucene.apache.org/solr/guide/8_6/authentication-and-authorization-plugins.html
如果不便升级，可以考虑使用补丁 SOLR-14663
https://issues.apache.org/jira/browse/SOLR-14663