Anmelden
Deutsch English Español Polski
Hoch

Apache Solr Kerberos delegation token functionality flaws

  • Veröffentlicht: 14.05.2022
  • Aktualisiert: 11.10.2026 11:20

Apache Solr's Kerberos plugin can be configured to use delegation tokens, which allows an application to reuse the authentication of an end-user or another application. There are two issues with this functionality (when using SecurityAwareZkACLProvider type of ACL provider e.g. SaslZkACLProvider). Firstly, access to the security configuration can be leaked to users other than the solr super user. Secondly, malicious users can exploit this leaked configuration for privilege escalation to further expose/modify private data and/or disrupt operations in the Solr cluster. The vulnerability is fixed from Apache Solr 6.6.1 onwards.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.solr:solr-core >= 6.2.0, < 6.6.1 6.6.1

Verweise

CVSS-Wert 7.5/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-287
Plattform
Java / Kotlin (Maven)
Paket
org.apache.solr:solr-core
Veröffentlicht
14.05.2022
Aktualisiert
11.10.2026 11:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-f553-j2gv-g5r9 - CC BY 4.0

Schwachstellenhistorie: org.apache.solr:solr-core

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (31) im Archiv
Einträge insgesamt
31
Erste → letzte
10.2018 06.2026
Ohne Fix
1
In Angriffen ausgenutzt
2

Verteilung nach Schweregrad

  • Kritisch 4
  • Hoch 16
  • Mittel 10
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Solr has hardcoded credentials in the Basic Authentication setup tool
    Hoch · 8.1 CVE-2026-44825 >= 9.4.0, <= 9.10.1, = 10.0.0 keine Korrektur
  2. Apache Solr: Insufficient file-access checking in standalone core-creation requests
    Hoch · 7.1 CVE-2026-22444 >= 8.6.0, < 9.10.1 9.10.1
  3. Apache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPlugin
    Hoch · 8.2 CVE-2026-22022 >= 5.3.0, < 9.10.1 9.10.1
  4. Apache Solr vulnerable to Execution with Unnecessary Privileges
    Hoch CVE-2025-24814 < 9.8.0 9.8.0
  5. Apache Solr: Backup/Restore APIs allow for deployment of executables in malicious ConfigSets
    Hoch · 8.8 CVE-2023-50386 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.4.1 8.11.3, 9.4.1
  6. Apache Solr can leak certain passwords due to System Property redaction logic inconsistencies
    Hoch · 7.5 CVE-2023-50291 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.3.0 8.11.3, 9.3.0
  7. Apache Solr vulnerable to XML Bomb
    Hoch · 7.5 CVE-2019-12401 < 5.0.0 5.0.0
  8. Improper Restriction of XML External Entity Reference in Apache Solr
    Hoch CVE-2012-6612 < 4.1.0 4.1.0
  9. Apache Solr insecure inter-node communication
    Hoch · 7.5 CVE-2017-7660 >= 5.3.0, < 5.5.5, >= 6.0.0, < 6.6.0 5.5.5, 6.6.0
  10. Apache Solr Kerberos delegation token functionality flaws dieser Eintrag
    Hoch · 7.5 CVE-2017-9803 >= 6.2.0, < 6.6.1 6.6.1
  11. Incorrect Authorization in Apache Solr
    Kritisch · 9.8 CVE-2020-13957 >= 6.6.0, < 8.6.3 8.6.3
  12. Improper permission handling in Apache Solr
    Hoch · 7.5 CVE-2021-29262 < 8.8.2 8.8.2
  13. Improper Input Validation in Apache Solr
    Hoch · 7.5 In Angriffen ausgenutzt CVE-2019-17558 >= 5.0.0, < 8.4.0, >= 6.0.0, < 8.4.0, >= 7.0.0, < 8.4.0, >= 8.0.0, < 8.4.0 8.4.0
  14. Unrestricted upload of file with dangerous type in Apache Solr
    Kritisch · 9.8 CVE-2019-12409 >= 8.1.1, < 8.3.0 8.3.0
  15. XML External Entity (XXE) Injection in Apache Solr
    Hoch · 7.2 In Angriffen ausgenutzt CVE-2019-0193 < 8.2.0 8.2.0
  16. Server-Side Request Forgery (SSRF) in org.apache.solr:solr-core
    Hoch · 7.5 CVE-2017-3164 >= 1.3.0, < 7.7.0 7.7.0
  17. Critical severity vulnerability that affects org.apache.solr:solr-core
    Kritisch · 9.8 CVE-2019-0192 >= 5.0.0, < 7.0.0, >= 6.0.0, < 7.0.0 7.0.0
  18. Improper Limitation of a Pathname ('Path Traversal') in org.apache.solr:solr-core
    Hoch · 7.5 CVE-2017-3163 < 5.5.4, >= 6.0.0, < 6.4.1 5.5.4, 6.4.1
  19. Remote code execution occurs in Apache Solr
    Kritisch · 9.8 CVE-2017-12629 >= 7.0.0, < 7.1.0, >= 6.0.0, < 6.6.2, >= 5.5.0, < 5.5.5 7.1.0, 6.6.2, 5.5.5
  20. There is a XML external entity expansion (XXE) vulnerability in Apache Solr
    Hoch · 7.5 CVE-2018-1308 >= 1.2, < 6.6.3, >= 7.0.0, < 7.3.0 6.6.3, 7.3.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.