近日，梦之想科技监测到Apache官方在其发布的安全公告中披露了一个新的远程反序列化代码执行漏洞。该漏洞的CVE编号为CVE-2019-0192，严重程度被标注为“Critical（极其严重）”。

漏洞成因

Solr是一个由Apache官方使用Java语言开发的全文搜索服务器，主要基于HTTP和Apache Lucene实现。

它的主要特性包括：高效、灵活的缓存功能，垂直搜索功能，高亮显示搜索结果，通过索引复制来提高可用性，提供一套强大Data Schema来定义字段，类型和设置文本分析，提供基于Web的管理界面等。

鉴于以上的这些特性，Apache Solr开源服务目前正在被许多企业所采用。

从Apache官方发布的安全公告来看，Apache Solr 5.0.0-5.5.5和6.0.0-6.6.5版本中的ConfigAPI允许攻击者修改jmx.serviceUrl属性，将其指向恶意的RMI服务器响应任何对象，进而导致了反序列化远程代码执行漏洞的产生。

漏洞危害

利用ConfigAPI传入set-poroperty属性，构造恶意的请求，传入指向恶意的RMI服务器的链接，覆盖之前服务器的原设置，使得目标服务器与攻击者的恶意RMI服务器相连，攻击者可以使用ysoserial工具，通过RMI服务器向远端目标服务器发送请求，并在目标服务器上执行，实现远程命令执行。

修复建议

1、升级到Apache Solr最新版本；

2、通过修改系统配置disable.configEdit = true，禁用ConfigAPI接口。