apache solr rce cve-2019-0192 分析

不念不忘少年蓝@ 2021-08-31 01:11 294阅读 0赞

### 前言 ###

影响版本：5.0.0 ~ 5.5.5、6.0.0 ~ 6.6.5  
安全版本：7.0

简要描述

ConfigAPI allows to configure Solr's JMX server via an HTTP POST request.By pointing it to a malicious RMI server, an attacker could take advantage of Solr's unsafe deserialization to trigger remote code execution on the Solr side.

### 调用栈 ###

Solr 中由配置文件触发 Jmx流程：  
org.apache.solr.handler.SolrConfigHandler\#handleRequestBody  
\->  
org.apache.solr.handler.SolrConfigHandler.Command\#handlePOST  
\->  
org.apache.solr.handler.SolrConfigHandler.Command\#applySetProp  
\->  
org.apache.solr.core.CoreContainer\#reload  
\->  
org.apache.solr.core.SolrConfig\#SolrConfig  
\->  
org.apache.solr.core.SolrCore\#reload  
\->  
org.apache.solr.core.SolrCore\#SolrCore  
\->  
org.apache.solr.core.SolrCore\#initInfoRegistry  
\->  
org.apache.solr.core.JmxMonitoredMap\#JmxMonitoredMap  
\->  
javax.management.remote.JMXConnectorServerMBean\#start

### 分析过程 ###

其路由过程不再分析，在 [https://xz.aliyun.com/t/1523][https_xz.aliyun.com_t_1523] 这篇文章中分析过

直接到 ReuqestHandler 中，访问路径 /config 可以进入 SolrConfigHandler\#handleRequestBody 中，如下图：

[![format_png][]][format_png 1]

由poc知道我们走的是 POST 的处理流程，跟进 handlePOST 函数

[![format_png 2][]][format_png 2 1]

如上图看见关键词 Config Overlay ，跟进 else 代码块调用的 handleCommands 函数，如下

[![format_png 3][]][format_png 3 1]

第一个框就是 poc 给出的 POST 数据中指定的 set-property 流程，但是我感觉第二个框也可以，不过具体情况没测试

跟入 applySetProp 函数，如下

private ConfigOverlay applySetProp(CommandOperation op, ConfigOverlay overlay) {
          Map<String, Object> m = op.getDataMap();
          if (op.hasError()) return overlay;
          for (Map.Entry<String, Object> e : m.entrySet()) {
            String name = e.getKey();
            Object val = e.getValue();
            Class typ = ConfigOverlay.checkEditable(name, false, null);
    [……中间省略了解析 POST 数据的流程……]
            overlay = overlay.setProperty(name, val);
          }
          return overlay;
        }
    
      }

如上，注意力转向 setProperty 的调用，跟进

[![format_png 4][]][format_png 4 1]

这里就是将 POST 参数做处理后，全部用于生成一个新的 ConfigOverlay 对象并将其返回到 handleCommands 函数中的 overlay 变量去接受赋值

标注 handleCommands 中的 overlay 变量，看到如下调用

[![format_png 5][]][format_png 5 1]

If 代码块是处于 zookeeper 分布式状态下的，也能触发成功，不过为了便于分析，我们跟进 else 代码块：单机孤儿模式

可以看见调用了 persistConfLocally 猜测应该是将刚刚生成的 ConfigOverlay 对象的数据做持久存储，其中 ConfigOverlay.RESOURCE\_NAME 的值为：

public static final String RESOURCE_NAME = "configoverlay.json";

数据应该是存入了 configoverlay.json 中  
第二步就调用了 reload 函数，重启服务器

其实这里我是反向跟踪的，因为 reload 流程中会有大量的 initial 操作，根本分不清啥时候会加载我们指定的配置，从 ConfigOverlay.RESOURCE\_NAME 入手

[![format_png 6][]][format_png 6 1]

这里有个获取流数据操作，八九不离十就是这里，但是为了调用流程直观，我们还是从 reload 流程中讲述

[![format_png 7][]][format_png 7 1]

注意到了这一句，重新加载的话，所有配置文件也会重新加载一次，既然之前写入了 configoverlay.json 文件中，那也算作是配置文件，跟进 getConfig 函数

[![format_png 8][]][format_png 8 1]

很显眼 createSolrConfig 函数流程肯定是重加载配置，一直跟踪到 SolrConfig\#SolrConfig 中，如下：

[![format_png 9][]][format_png 9 1]

看见 overlay 了，跟进到 getConfigOverlay 函数如下

[![format_png 10][]][format_png 10 1]

这里就刚好和前面搜索到的流数据操作吻合，那么继续在 SolrConfig 的构造函数中查看，找到如下

[![format_png 11][]][format_png 11 1]

上图中看见了 poc 中指定的三个参数，并且用他们创建了 JmxConfiguration 对象赋值给 jmxConfig  
这里还没完，JmxConfiguration 仅仅是存储信息的，并没有执行任何操作，跟踪 jmxConfig 参数如下

[![format_png 12][]][format_png 12 1]

跟入红框所示位置

[![format_png 13][]][format_png 13 1]

JmxMonitoredMap 的构造函数中就进行了 JMX 监控操作，可以触发 rmi 序列化

但是这里属于 initInfoRegistry 函数中，还不清楚这个函数在哪儿调用，反向查找在 SolrCore 的构造函数中被调用到

[![format_png 14][]][format_png 14 1]

SolrCore 的构造函数由 CoreContainer\#reload 调用的 SolrCore\#reload 触发

至此服务端触发jmx流程已经完整

### 链接 ###

漏洞详情：[https://issues.apache.org/jira/browse/SOLR-13301][https_issues.apache.org_jira_browse_SOLR-13301]  
漏洞POC：[https://github.com/mpgn/CVE-2019-0192][https_github.com_mpgn_CVE-2019-0192]  
[https://issues.apache.org/jira/secure/attachment/12961503/12961503\_SOLR-13301.patch][https_issues.apache.org_jira_secure_attachment_12961503_12961503_SOLR-13301.patch]  
[https://lucene.apache.org/solr/guide/6\_6/config-api.html\#ConfigAPI-CommandsforCommonProperties][https_lucene.apache.org_solr_guide_6_6_config-api.html_ConfigAPI-CommandsforCommonProperties]

[https_issues.apache.org_jira_browse_SOLR-13301]: https://issues.apache.org/jira/browse/SOLR-13301
[https_github.com_mpgn_CVE-2019-0192]: https://github.com/mpgn/CVE-2019-0192
[https_xz.aliyun.com_t_1523]: https://xz.aliyun.com/t/1523
[format_png]: /images/20210728/7a99b52b635d4e1e9e5747915af7e1b9.png
[format_png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012241-70e26ee6-44eb-1.png
[format_png 2]: /images/20210728/bb6e91e3c7a7418ba4767cdb71194336.png
[format_png 2 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012249-75e7dc28-44eb-1.png
[format_png 3]: /images/20210728/89488504d9874d92b726a5af6efc8f54.png
[format_png 3 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012259-7bb8381e-44eb-1.png
[format_png 4]: /images/20210728/7f2cf36f15564308bdf48e0205113f66.png
[format_png 4 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012313-8454af02-44eb-1.png
[format_png 5]: /images/20210728/74d998469628494eb6f35f85fd17f496.png
[format_png 5 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012324-8a62eb52-44eb-1.png
[format_png 6]: /images/20210728/3b0f20c7c9cc41228e54e00b0f5e5d5a.png
[format_png 6 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012341-94790f2c-44eb-1.png
[format_png 7]: /images/20210728/3d0d3fcab62143418f730eeb52f28bbf.png
[format_png 7 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012349-99ceb51c-44eb-1.png
[format_png 8]: /images/20210728/6efeb2ca2ddc41028a850c8287f066ba.png
[format_png 8 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012409-a5a9f8d8-44eb-1.png
[format_png 9]: /images/20210728/05ff4f45401e4057a200fc68eb55ed5d.png
[format_png 9 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012419-ab93eb28-44eb-1.png
[format_png 10]: /images/20210728/377fbe58683a4e6e9b99606945d81731.png
[format_png 10 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012426-afa8cc2e-44eb-1.png
[format_png 11]: /images/20210728/e2c5297bd3fd44b88d480e7effc6613d.png
[format_png 11 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012439-b71a976c-44eb-1.png
[format_png 12]: /images/20210728/1a2b64a6171c47889b186345ee62c255.png
[format_png 12 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012450-bde7faf8-44eb-1.png
[format_png 13]: /images/20210728/c9d6c7bb91bf47e0a06d766a41bd7175.png
[format_png 13 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012457-c236cbde-44eb-1.png
[format_png 14]: /images/20210728/0a12df7499d84f27b23d08daad807ea2.png
[format_png 14 1]: https://xzfile.aliyuncs.com/media/upload/picture/20190313012509-c9316e6c-44eb-1.png
[https_issues.apache.org_jira_secure_attachment_12961503_12961503_SOLR-13301.patch]: https://issues.apache.org/jira/secure/attachment/12961503/12961503_SOLR-13301.patch
[https_lucene.apache.org_solr_guide_6_6_config-api.html_ConfigAPI-CommandsforCommonProperties]: https://lucene.apache.org/solr/guide/6_6/config-api.html#ConfigAPI-CommandsforCommonProperties