- Aktif istismar
- CWE-94
CVE-2019-0193
Apache Solr DataImportHandler'da kod enjeksiyonu zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2645 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache Solr'da, veritabanları ve diğer kaynaklardan veri çekmek için kullanılan isteğe bağlı ama yaygın bir modül olan DataImportHandler, tüm DIH yapılandırmasının bir isteğin "dataConfig" parametresinden gelebilmesine olanak tanıyan bir özelliğe sahiptir. DIH yönetici ekranının hata ayıklama modu, bir DIH yapılandırmasının kolayca hata ayıklanmasını ve geliştirilmesini sağlamak için bu özelliği kullanır. Bir DIH yapılandırması betik içerebildiğinden, bu parametre bir güvenlik riskidir. Solr'ın 8.2.0 sürümünden itibaren bu parametrenin kullanımı, "enable.dih.dataConfigParam" Java sistem özelliğinin true olarak ayarlanmasını gerektirmektedir.
Kaynaktaki açıklama (İngilizce)
In Apache Solr, the DataImportHandler, an optional but popular module to pull in data from databases and other sources, has a feature in which the whole DIH configuration can come from a request's "dataConfig" parameter. The debug mode of the DIH admin screen uses this to allow convenient debugging / development of a DIH config. Since a DIH config can contain scripts, this parameter is a security risk. Starting with version 8.2.0 of Solr, use of this parameter requires setting the Java System property "enable.dih.dataConfigParam" to true.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Solr | Sürüm belirtilmemiş | – |
Kaynaklar24 kaynak
- CVE.org kaydı
- NVD kaydı
- issues.apache.org/jira/browse/SOLR-13669 Diğer
- lists.debian.org/debian-lts-announce/2019/10/msg00013.html Diğer
- lists.apache.org/…5449b7beb51ee%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…50f01b077ce74%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…f527a52a81b83%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…8a76d4b4ded9c%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…0e4f121d89eab%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…1766e76391caa3%40%3Ccommits.nifi.apache.org%3E Diğer
- lists.apache.org/…feb32967edf03%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…9f993310f814d%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…84cfece1c82fc%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…678e6e6ce0c69b%40%3Ccommits.nifi.apache.org%3E Diğer
- lists.apache.org/…0af98bfd85686b51%40%3Cdev.lucene.apache.org%3E Diğer
- lists.apache.org/…5f5a9d63e0606a66%40%3Cdev.lucene.apache.org%3E Diğer
- lists.apache.org/…5e012175540f6%40%3Cissues.lucene.apache.org%3E Diğer
- lists.apache.org/…34f7af1d2f699%40%3Cissues.lucene.apache.org%3E Diğer
- lists.debian.org/debian-lts-announce/2020/08/msg00025.html Diğer
- lists.apache.org/…dbbdf2ab8%40%3Ccommits.submarine.apache.org%3E Diğer
- lists.apache.org/…f58153a857af1%40%3Ccommits.druid.apache.org%3E Diğer
- lists.apache.org/…86584162f8f5aeef%40%3Cusers.solr.apache.org%3E Diğer
- lists.apache.org/…ed766176c931fccc%40%3Cusers.solr.apache.org%3E Diğer
- lists.apache.org/…872801819faa9314%40%3Cusers.solr.apache.org%3E Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.