Apache Solrに認証バイパスの脆弱性 - 重要度「クリティカル」も

検索プラットフォーム「Apache Solr」に複数の脆弱性が明らかとなった。1件は「クリティカル（Critical）」と評価されており、アップデートが呼びかけられている。

現地時間10月14日にアドバイザリ2件を公開したもの。「CVE-2024-45216」は、認証をバイパスできる脆弱性で、認証を必要とすることなくAPIのリクエストが可能となる。

Solr認証が使用されるときにデフォルトで有効となる「PKIAuthenticationPlugin」を利用しているインスタンスが影響を受けるという。

開発チームでは脆弱性の重要度を、4段階中もっとも高い「クリティカル（Critical）」とレーティングした。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価している。

あわせて同日「CVE-2024-45217」が明らかとなった。初期化を安全に行わず、認証を経ずにカスタムコードが読み込まれるおそれがある。重要度は「中（Moderate）」と評価されている。CISAではCVSS基本値を「8.1」とした。

開発チームでは、脆弱性を修正した「同9.7.0」「同8.11.4」をリリースしており、利用者にアップデートを呼びかけている。

（Security NEXT - 2024/10/18 ）ツイート