Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Lucene < 6.6.2 Apache Lucene < 7.1.0 Apache Solr < 6.6.2 Apache Solr < 7.1.0 Betroffene Plattformen: Apple Mac OS X macOS Sierra GNU/Linux Microsoft Windows Red Hat Fedora 25 Red Hat Fedora 26 Red Hat Fedora 27 Eine Schwachstelle in Lucene vor Versionen 6.6.2 und 7.1.0 ermöglicht einem entfernten, nicht authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen und in der Folge das Ausspähen sensitiver Daten. In diesem Kontext kann der Angreifer direkten Zugriff auf einen Solr-Server (ebenfalls vor Versionen 6.6.2 und 7.1.0) erhalten und auf diesem beliebigen Programmcode ausführen. Der Hersteller informiert über die Schwachstelle und stellt die genannten Versionen als Sicherheitsupdates bereit. Für Fedora 25, 26 und 27 stehen Backport-Sicherheitsupdates für Lucene im Status 'testing' zur Verfügung. Patch: Apache Lucene und Solr 6.6.2 Release Notes https://lucene.apache.org/#18-october-2017-apache-lucene-662-and-apache-solr-662-available

Patch:

Apache Lucene und Solr 7.1.0 Release Notes

https://lucene.apache.org/#17-october-2017-apache-lucene-710-and-apache-solr-710-available

Patch:

Fedora Security Update FEDORA-2017-005f8f7f7d (Fedora 25, lucene-5.5.0-5)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-005f8f7f7d

Patch:

Fedora Security Update FEDORA-2017-9b3e2904bf (Fedora 27, lucene-6.1.0-6)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-9b3e2904bf

Patch:

Fedora Security Update FEDORA-2017-c7bdf540b4 (Fedora 26, lucene-6.1.0-6)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-c7bdf540b4

CVE-2017-12629: Schwachstelle in Lucene/Solr ermöglicht Ausführung
beliebigen Programmcodes

Die ‘CoreParser’-Klasse von Lucene akzeptiert ‘Doctype’-Deklarationen und
erweitert externe Entitäten (XXE). Dadurch kann ein Objekt konstruiert
werden, das über die ‘RunExecutableListener’-Klasse in der Config-API eines
betroffenen Apache Solr-Servers den direkten Zugriff und in der Folge die
Ausführung beliebigen Programmcodes auf dem Server ermöglicht. Beide
Schwachstellen werden unter einem Schwachstellenbezeichner zusammengefasst.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1836/

Schwachstelle CVE-2017-12629 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12629

Apache Lucene und Solr 6.6.2 Release Notes:
https://lucene.apache.org/#18-october-2017-apache-lucene-662-and-apache-solr-662-available

Apache Lucene und Solr 7.1.0 Release Notes:
https://lucene.apache.org/#17-october-2017-apache-lucene-710-and-apache-solr-710-available

Fedora Security Update FEDORA-2017-005f8f7f7d (Fedora 25, lucene-5.5.0-5):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-005f8f7f7d

Fedora Security Update FEDORA-2017-9b3e2904bf (Fedora 27, lucene-6.1.0-6):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9b3e2904bf

Fedora Security Update FEDORA-2017-c7bdf540b4 (Fedora 26, lucene-6.1.0-6):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-c7bdf540b4

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.