データベースまたはその他のソースからデータをプルするために広く使用され、人気のあるモジュールである DataImportHandler には、dataConfig パラメーターの脆弱性があります。このパラメーターは、DIH 構成の構成に使用されます。この構成にはスクリプトが含まれる可能性があるため、このパラメーターは RCE セキュリティリスクをもたらします。8.2.0 以降の Solr でこのパラメーターを使用するには、Java システムプロパティの「enable.dih.dataConfigParam」を true に設定する必要があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The DataImportHandler, a popular and widely used module which is used to pull data from databases or other sources, has a vulnerability dataConfig parameter. This parameter is used for configuration of DIH config; since this config can contain scripts, this parameter poses a RCE security risk. Starting with version 8.2.0 of Solr, use of this parameter requires setting the Java System property "enable.dih.dataConfigParam" to true.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

DataImportHandler 是一個受歡迎且廣泛使用的模組，用於從資料庫或其他來源提取資料，其 dataConfig 參數有一個弱點。此參數用於 DIH config 的設定，由於此組態可包含指令碼，因此此參數會造成 RCE 安全性風險。從 Solr 8.2.0 版開始，使用此參數需要將 Java System 的「enable.dih.dataConfigParam」屬性設定為 true。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

DataImportHandler 是一种广受欢迎且使用广泛的模块，用于从数据库或其他来源提取数据，但其 dataConfig 参数中存在一个漏洞。此参数用于 DIH config 的配置；由于此配置中可能包含脚本，因而此参数会造成 RCE 安全风险。从 Solr 8.2.0 版开始，使用此参数需要将 Java 系统属性“enable.dih.dataConfigParam”设置为 true。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

A security vulnerability was discovered in lucene-solr, an enterprise search server.

The DataImportHandler, an optional but popular module to pull in data from databases and other sources, has a feature in which the whole DIH configuration can come from a request's 'dataConfig' parameter. The debug mode of the DIH admin screen uses this to allow convenient debugging / development of a DIH config. Since a DIH config can contain scripts, this parameter is a security risk. Starting from now on, use of this parameter requires setting the Java System property 'enable.dih.dataConfigParam' to true. For example this can be achieved with solr-tomcat by adding -Denable.dih.dataConfigParam=true to JAVA_OPTS in /etc/default/tomcat8.

For Debian 9 stretch, this problem has been fixed in version 3.6.2+dfsg-10+deb9u3.

We recommend that you upgrade your lucene-solr packages.

For the detailed security status of lucene-solr please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/lucene-solr

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

A security vulnerability was discovered in lucene-solr, an enterprise search server.

The DataImportHandler, an optional but popular module to pull in data from databases and other sources, has a feature in which the whole DIH configuration can come from a request's 'dataConfig' parameter. The debug mode of the DIH admin screen uses this to allow convenient debugging / development of a DIH config. Since a DIH config can contain scripts, this parameter is a security risk. Starting from now on, use of this parameter requires setting the Java System property 'enable.dih.dataConfigParam' to true. For example this can be achieved with solr-tomcat by adding -Denable.dih.dataConfigParam=true to JAVA_OPTS in /etc/default/tomcat7.

For Debian 8 'Jessie', this problem has been fixed in version 3.6.2+dfsg-5+deb8u3.

We recommend that you upgrade your lucene-solr packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

エンタープライズ検索サーバーlucene-solrにセキュリティ脆弱性があることが判明しました。

データベースやその他のソースからデータを取り出すために広く使用されているオプションモジュールDataImportHandlerには、DIH構成全体をリクエストの「dataConfig」パラメーターから取得する機能があります。DIH管理者画面のデバッグモードでは、これを使用することにより、DIH構成のデバッグ/開発の便利な機能が利用可能になります。DIH構成にはスクリプトが含まれる可能性があるため、このパラメーターはセキュリティリスクとなります。今後このパラメーターを使用するには、Javaシステムプロパティの「enable.dih.dataConfigParam」をtrueに設定する必要があります。これは、たとえばsolr-tomcatで、/etc/default/tomcat8のJAVA_OPTSに-Denable.dih.dataConfigParam = trueを追加することで達成できます。

Debian 9「Stretch」では、この問題はバージョン3.6.2+dfsg-10+deb9u3で修正されています。

お使いのlucene-solrパッケージをアップグレードすることをお勧めします。

lucene-solrの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/lucene-solr

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

エンタープライズ検索サーバーlucene-solrにセキュリティ脆弱性があることが判明しました。

データベースやその他のソースからデータを取り出すために広く使用されているオプションモジュールDataImportHandlerには、DIH構成全体をリクエストの「dataConfig」パラメーターから取得する機能があります。DIH管理者画面のデバッグモードでは、これを使用することにより、DIH構成のデバッグ/開発の便利な機能が利用可能になります。DIH構成にはスクリプトが含まれる可能性があるため、このパラメーターはセキュリティリスクとなります。今後このパラメーターを使用するには、Javaシステムプロパティの「enable.dih.dataConfigParam」をtrueに設定する必要があります。これは、たとえばsolr-tomcatで、/etc/default/tomcat7のJAVA_OPTSに-Denable.dih.dataConfigParam = trueを追加することで達成できます。

Debian 8「Jessie」では、この問題はバージョン3.6.2+dfsg-5+deb8u3で修正されました。

お使いのlucene-solrパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 lucene-solr（企业搜索服务器）中发现一个安全漏洞。

DataImportHandler（从数据库和其他来源引入数据的可选热门模块）具有特定功能，可通过请求的“dataConfig”参数提供整个 DIH 配置。DIH 管理屏幕的调试模式可利用此漏洞，以便捷的方式调试/开发 DIH 配置。由于 DIH 配置可包含脚本，此参数存在安全风险。从现在开始，使用此参数需要将 Java 系统属性“enable.dih.dataConfigParam”设置为 true。例如，为此可使用 solr-tomcat 将 -Denable.dih.dataConfigParam=true 添加至 /etc/default/tomcat8 中的 JAVA_OPTS。

对于 Debian 9 stretch，已在版本 3.6.2+dfsg-10+deb9u3 中修复此问题。

建议您升级 lucene-solr 程序包。

如需了解 lucene-solr 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/lucene-solr

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 lucene-solr (企業搜尋伺服器) 中發現一個安全性弱點。

DataImportHandler 是一個可選但很常用的模組，可從資料庫和其他來源引入資料，此模組具有一個特點，即整個 DIH 組態皆可來自請求的「dataConfig」參數。DIH 系統管理畫面的除錯模式可利用此特點，方便地進行 DIH 組態的除錯/開發。由於 DIH 組態可包含指令碼，所以此參數有安全性風險。從現在開始，使用此參數需要將 Java System 內容「enable.dih.dataConfigParam」設為 true。例如，透過將 -Denable.dih.dataConfigParam=true 新增至 /etc/default/tomcat7 中的 JAVA_OPTS，即可使用 solr-tomcat 達到此目的。

針對 Debian 8「Jessie」，已在 3.6.2+dfsg-5+deb8u3 版本中修正此問題。

建議您升級 ucene-solr 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 lucene-solr (企業搜尋伺服器) 中發現一個安全性弱點。

DataImportHandler 是一個可選但很常用的模組，可從資料庫和其他來源引入資料，此模組具有一個特點，即整個 DIH 組態皆可來自請求的「dataConfig」參數。DIH 系統管理畫面的除錯模式可利用此特點，方便地進行 DIH 組態的除錯/開發。由於 DIH 組態可包含指令碼，所以此參數有安全性風險。從現在開始，使用此參數需要將 Java System 內容「enable.dih.dataConfigParam」設為 true。例如，透過將 -Denable.dih.dataConfigParam=true 新增至 /etc/default/tomcat8 中的 JAVA_OPTS，即可使用 solr-tomcat 達到此目的。

針對 Debian 9「Stretch」，已在 3.6.2+dfsg-10+deb9u3 版本中修正此問題。

建議您升級 ucene-solr 套件。

如需有關 lucene-solr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/lucene-solr

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 lucene-solr（企业搜索服务器）中发现一个安全漏洞。

DataImportHandler（从数据库和其他来源引入数据的可选热门模块）具有特定功能，可通过请求的“dataConfig”参数提供整个 DIH 配置。DIH 管理屏幕的调试模式可利用此漏洞，以便捷的方式调试/开发 DIH 配置。由于 DIH 配置可包含脚本，此参数存在安全风险。从现在开始，使用此参数需要将 Java 系统属性“enable.dih.dataConfigParam”设置为 true。例如，为此可使用 solr-tomcat 将 -Denable.dih.dataConfigParam=true 添加至 /etc/default/tomcat7 中的 JAVA_OPTS。

对于 Debian 8“Jessie”，此问题已在版本 3.6.2+dfsg-5+deb8u3 中修复。

建议您升级 lucene-solr 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98930	Apache Solr < 8.2.0のリモートコードの実行	Web App Scanning	Component Vulnerability	2020/1/27	2023/3/14	high
98930	Apache Solr < 8.2.0 Remote Code Execution	Web App Scanning	Component Vulnerability	2020/1/27	2023/3/14	high
98930	Apache Solr < 8.2.0 遠端程式碼執行	Web App Scanning	Component Vulnerability	2020/1/27	2023/3/14	high
98930	Apache Solr < 8.2.0 远程代码执行	Web App Scanning	Component Vulnerability	2020/1/27	2023/3/14	high
139625	Debian DLA-2327-1 : lucene-solr security update	Nessus	Debian Local Security Checks	2020/8/18	2024/2/26	high
129800	Debian DLA-1954-1 : lucene-solr security update	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	high
139625	Debian DLA-2327-1: lucene-solrセキュリティ更新	Nessus	Debian Local Security Checks	2020/8/18	2024/2/26	high
129800	Debian DLA-1954-1 : lucene-solrセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	high
139625	Debian DLA-2327-1：lucene-solr 安全更新	Nessus	Debian Local Security Checks	2020/8/18	2024/2/26	high
129800	Debian DLA-1954-1：lucene-solr 安全性更新	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	high
139625	Debian DLA-2327-1：lucene-solr 安全性更新	Nessus	Debian Local Security Checks	2020/8/18	2024/2/26	high
129800	Debian DLA-1954-1：lucene-solr 安全更新	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high