お客様各位

平素はお引き立てを賜り、ありがとうございます。

弊社サブスクリプションご加入のお客様およびサポートサービスご加入のお客様に、セキュリティ関連の勧告についてお知らせいたします。

—–

○ CVE-2016-6809: Java code execution for serialized objects embedded in MATLAB files parsed by Apache Solr using Apache Tika

重要度：重要

ベンダー：The Apache Software Foundation

影響するバージョン：

• Apache Solr 5.0.0 から 5.5.4（弊社サブスクリプション 2.0.0 から 2.2.0）
• Apache Solr 6.0.0 から 6.6.1（弊社サブスクリプション 2.3.0 から 3.1.1）
• Apache Solr 7.0.0 から 7.0.1（弊社サブスクリプションに該当はありません）

説明：

Apache Solr は、doc, xls, pdf などのバイナリファイルを解析するのに Apache Tika を利用しています。Apache Tika は MATLAB ファイルを扱うために jmatio パーサーhttps://github.com/gradusnikov/jmatio をラップしています。そのパーサーは MATLAB ファイル中に埋め込まれた、シリアライズされた Java オブジェクトに対してネイティブのデシリアライゼーションを使います。悪意のあるユーザーは、当該オブジェクトがデシリアライズされたときに実行される任意のコードを注入できてしまいます。
この脆弱性はこちらで説明されています。
http://mail-archives.apache.org/mod_mbox/tika-user/201611.mbox/%3C2125912914.1308916.1478787314903%40mail.yahoo.com%3E

回避策：

• この脆弱性が解消されている Solr 5.5.5 または Solr 6.6.2 または Solr 7.1.0 にアップグレードしてください。
　　　　
• Solr 5.5.5 では jmatio パーサーを v1.2 にアップグレードし、この脆弱性に対する保護をサポートするために Java のディリアライゼーションを無効化しています。
　　　　
• Solr 6.6.2 および Solr 7.1.0 ではバンドルされた Tika を v1.16 にアップグレードしています。サブスクリプションは 3.1.2 が Solr 6.6.2 をバンドルしています。
　　　　
• 上記のアップグレードを行えば、その他の対処は不要です。




参考情報：
https://issues.apache.org/jira/browse/SOLR-11486
https://issues.apache.org/jira/browse/SOLR-10335
https://wiki.apache.org/solr/SolrSecurity


Lucene PMC より。

—–

サブスクリプションおよびサポートサービスご加入のお客様は、上記を参考にして必要な 対応を実施していただきますようお願いいたします。また、サポート、サブスクリプション契約中のお客様には、インシデント消化なしで本件のお問い合わせに対応いたします。

以上、今後ともよろしくお願い申し上げます。


Tweet