The DocumentAnalysisRequestHandler in Apache Solr before 4.3.1 does incorrectly uses the EmptyEntityResolver, allowing remote, unauthenticated attackers to have allows remote attackers to have an unspecified impact by injecting XML data containing an external entity declaration in conjunction with a valid entity reference, related to an XML External Entity (XXE) issue.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

4.3.1 より前の Apache Solr の DocumentAnalysisRequestHandler は、EmptyEntityResolver を不適切に使用するため、認証されていないリモートの攻撃者が持つことを可能にし、XML 外部エンティティ (XXE) の問題に関連する有効なエンティティ参照とともに外部エンティティ宣言を含む XML データを注入することで、リモートの攻撃者が詳細不明な影響を与える可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

在 Apache Solr 4.3.1 之前版本中，DocumentAnalysisRequestHandler 未正確使用 EmptyEntityResolver，進而允許未經驗證的遠端攻擊者透過插入含有外部實體宣告的 XML 資料，並結合有效實體參照來造成不明影響，這與 XML 外部實體 (XXE) 問題有關。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

在 4.3.1 之前的 Apache Solr 中，DocumentAnalysisRequestHandler 并未正确使用 EmptyEntityResolver，未经身份验证的远程攻击者可利用此问题，允许远程攻击者通过注入包含外部实体声明以及有效实体引用的 XML 数据（与 XML 外部实体 (XXE) 问题相关），造成不明影响。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

The version of Apache Solr running on the remote web server is affected by an XML external entity injection vulnerability due to an incorrectly configured XML parser in the 'DocumentAnalysisRequestHandler' class.  A remote, unauthenticated attacker can exploit this flaw to gain access to arbitrary files or to cause a denial of service condition.

Note that this issue exists due to an incomplete fix for CVE-2013-6407.

Multiple vulnerabilities were found in Solr, an open source enterprise search server based on Lucene, resulting in information disclosure or code execution.

「DocumentAnalysisRequestHandler」クラスの XML パーサーの不適切な構成のために、リモートの Web サーバーで実行されているバージョンの Apache Solr は、XML 外部エンティティインジェクションの脆弱性の影響を受けます。認証されていないリモートの攻撃者がこの欠陥を悪用して、任意のファイルへのアクセス権限を取得したり、サービス拒否状態を引き起こしたりする可能性があります。

注意：この問題は CVE-2013-6407 の修正が不完全なため存在しています。

Lucene をベースにしているオープンソースエンタープライズ検索サーバーである Solr で、複数の脆弱性が見つかりました。これにより、情報漏洩またはコードの実行が引き起こされます。

遠端 Web 伺服器上執行的 Apache Solr 版本受到一個 XML 外部實體插入弱點影響，這是因為錯誤地設定「DocumentAnalysisRequestHandler」類別中的 XML 剖析器所導致。未經驗證的遠端攻擊者可能會惡意利用此瑕疵，藉此取得任意檔案的存取權，或是造成拒絕服務情況。

請注意，此問題之所以存在，是因為 CVE-2013-6407 的修正不完整。

远程 Web 服务器上运行的 Apache Solr 版本受到因“DocumentAnalysisRequestHandler”类中错误配置的 XML 解析器而造成的 XML 外部实体注入漏洞的影响。未经认证的远程攻击者可利用此缺陷访问任意文件或造成拒绝服务情况。

请注意，存在此问题的原因是 CVE-2013-6407 的不完整补丁。

在 Solr (一個以 Lucene 為基礎的開放來源企業搜尋伺服器) 中發現多個弱點，進而導致資訊洩漏或程式碼執行。

在基于 Lucene 的开源企业搜索服务器 Solr 中发现多种漏洞，可导致信息泄露或代码执行。

Versions of Apache Solr prior to 5.0 are affected by multiple vulnerabilities :

 - A XXE injection flaw exists in 'UpdateRequestHandler' that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to arbitrary files. (CVE-2012-6612, CVE-2013-6407)
 - A XXE injection flaw in 'DocumentAnalysisRequestHandler' exists that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to arbitrary files. (CVE-2013-6408)

ID	名稱	產品	系列	已發布	已更新	嚴重性
98889	Apache Solr 3.6.0 < 4.3.1 XML External Entity	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	medium
98889	Apache Solr 3.6.0 < 4.3.1 の XML の外部エンティティ	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	medium
98889	Apache Solr 3.6.0 < 4.3.1 XML 外部實體插入	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	medium
98889	Apache Solr 3.6.0 < 4.3.1 XML 外部实体	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	medium
71845	Apache Solr < 4.3.1 XML External Entity Injection	Nessus	CGI abuses	2014/1/7	2021/1/19	medium
76091	Debian DSA-2963-1 : lucene-solr - security update	Nessus	Debian Local Security Checks	2014/6/18	2021/1/11	medium
71845	Apache Solr < 4.3.1 XML の外部エンティティインジェクション	Nessus	CGI abuses	2014/1/7	2021/1/19	medium
76091	Debian DSA-2963-1：lucene-solr - セキュリティ更新	Nessus	Debian Local Security Checks	2014/6/18	2021/1/11	medium
71845	Apache Solr < 4.3.1 XML 外部實體插入	Nessus	CGI abuses	2014/1/7	2021/1/19	medium
71845	Apache Solr < 4.3.1 XML 外部实体注入	Nessus	CGI abuses	2014/1/7	2021/1/19	medium
76091	Debian DSA-2963-1：lucene-solr - 安全性更新	Nessus	Debian Local Security Checks	2014/6/18	2021/1/11	medium
76091	Debian DSA-2963-1：lucene-solr - 安全更新	Nessus	Debian Local Security Checks	2014/6/18	2021/1/11	medium
9943	Apache Solr < 5.0 Multiple XXE	Nessus Network Monitor	CGI	2017/2/13	2019/3/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium