2019-11-01 22:13阿里云应急响应中心 服务器安全
2019年10月31日，阿里云应急响应中心监测到国外安全研究人员披露了Apache Solr Velocity模版注入远程命令执行漏洞。攻击者通过构造特定的请求，成功利用该漏洞可直接获取服务器权限。 漏洞描述 Solr中存在VelocityResponseWriter组件，攻
2019年10月31日，阿里云应急响应中心监测到国外安全研究人员披露了Apache Solr Velocity模版注入远程命令执行漏洞。攻击者通过构造特定的请求，成功利用该漏洞可直接获取服务器权限。
漏洞描述
Solr中存在VelocityResponseWriter组件，攻击者可以构造特定请求修改相关配置，使VelocityResponseWriter组件允许加载指定模板，进而导致Velocity模版注入远程命令执行漏洞，攻击者利用该漏洞可以直接获取到服务器权限。阿里云应急响应中心提醒Solr用户尽快采取安全措施阻止漏洞攻击。
影响版本
Apache Solr
安全建议
目前Apache Solr官方未发布该漏洞的补丁，请关注Solr官方以便获取更新信息：https://lucene.apache.org/solr/
相关链接
https://gist.github.com/s00py/a1ba36a3689fa13759ff910e179fc133
安全研究人员和从业人员也分享了大量用于渗透测试、逆向工程、恶意软件防御等的新型网络安全工具，渗透测试人员、防御者和安全研究人员可以利用这...
DNSrr采用Bash开发，可以帮助广大研究人员从DNS记录中枚举出所有有价值的内容，该工具使用了很多不同的技术。...
TIWAP是一款包含大量漏洞的Web应用渗透测试学习工具，同时也开始一个Web安全测试平台，该工具基于Python和Flask实现其功能，可以帮助一些信息安全爱好者或...
本文主要讲解服务器安全软件云锁添加服务器的方法，默认每个账户可以免费管理5台服务器，超过5台服务器则需收取一定的基础资源使用的费用，费用为...
随着移动、云计算和IoT扩展企业网络以及增加端点，安全变得至关重要。安全团队应该时刻保持警惕，还应该了解新技术以帮助保护其企业地域攻击。...
网络安全领域如今正处在向智能解决方案转变的早期阶段。人工智能和机器学习已经在数据中心产生巨大影响，这一点在网络安全方面更为明显。...
NetworKit是一款针对高性能网络安全分析的开源工具，该工具旨在帮助广大安全研究人员分析具备数千到数十亿条边界的大型网络。...
本文将从功能性、产品优势、适用性、以及兼容的平台等方面，向您介绍11种适合检测漏洞，并能准确模拟网络攻击的渗透测试工具。...
