CVE-2018-8010

Esta vulnerabilidad en Apache Solr, de la versión 6.0.0 a la 6.6.3 y de la versión 7.0.0 a la 7.3.0, está relacionada con una expansión XEE (XML External Entity) en los archivos de configuración de Solr (solrconfig.xml, schema.xml y managed-schema). Además, la funcionalidad Xinclude en estos archivos de configuración también se ha visto afectada de forma similar. La vulnerabilidad puede emplearse como XEE mediante el uso de protocolos file/ftp/http para leer archivos locales arbitrarios del servidor Solr o de la red interna. Se recomienda que los usuarios actualicen a Solr 6.6.4 o Solr 7.3.1, ya que ambos abordan esta vulnerabilidad. Una vez se ha completado la actualización, no se requieren otros pasos. Estas versiones solo permiten entidades externas y Xincludes que se refieran a archivos locales/recursos zookeeper bajo el directorio de la instancia Solr (mediante el uso del ResourceLoader de Solr); no se permite el uso de URL absolutas. Téngase en cuenta que las entidades externas y Xinclude están soportadas explícitamente para estructurar mejor archivos de configuración en instalaciones grandes. En versiones anteriores a Solr 6, esto no era un problema, ya que no se podía acceder a los archivos de configuración mediante las API.