2019年10月31日，阿里云應急響應中心監測到國外安全研究人員披露了Apache Solr Velocity模版注入遠程命令執行漏洞。攻擊者通過構造特定的請求，成功利用該漏洞可直接獲取服務器權限。

漏洞描述

Solr中存在VelocityResponseWriter組件，攻擊者可以構造特定請求修改相關配置，使VelocityResponseWriter組件允許加載指定模板，進而導致Velocity模版注入遠程命令執行漏洞，攻擊者利用該漏洞可以直接獲取到服務器權限。阿里云應急響應中心提醒Solr用戶盡快采取安全措施阻止漏洞攻擊。

影響版本

Apache Solr

安全建議

目前Apache Solr官方未發布該漏洞的補丁，請關注Solr官方以便獲取更新信息：https://lucene.apache.org/solr/

相關鏈接

https://gist.github.com/s00py/a1ba36a3689fa13759ff910e179fc133