There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - When starting Apache Solr versions prior to 8.8.2, configured with the SaslZkACLProvider or
    VMParamsAllAndReadonlyDigestZkACLProvider and no existing security.json znode, if the optional read-only
    user is configured then Solr would not treat that node as a sensitive path and would allow it to be
    readable. Additionally, with any ZkACLProvider, if the security.json is already present, Solr will not
    automatically update the ACLs. (CVE-2021-29262)

遠端主機上執行的 Apache Solr 版本為 7.7.4 之前的 7.x 版或 8.8.2 之前的 8.x 版。因此會受到包括以下在內的多個弱點影響： 

  - ReplicationHandler (通常註冊於 Solr 核心下的「/replication」) 中的「masterUrl」(亦稱為「 leaderUrl」別名) 參數可用來指定另一個 Solr 核心上的另一個 ReplicationHandler，以便將索引資料複製到本機核心中。為防止 SSRF 弱點，Solr 應針對其用於「shards」參數的類似設定檢查這些參數。在修正此錯誤之前，尚未檢查。(CVE-2021-27905)

  - 啟動 8.8.2 之前版本的 Apache Solr (以 SaslZkACLProvider 或 VMParamsAllAndReadonlyDigestZkACLProvider 設定且無任何現有的 security.json znode) 時，如果設定了選用的唯讀使用者，則 Solr 不會將該節點視為敏感路徑，並且允許其可讀。此外，對於任何 ZkACLProvider，如果 security.json 已存在，Solr 將不會自動更新 ACL。(CVE-2021-29262)     
  - 使用 ConfigurableInternodeAuthHadoopPlugin 進行驗證時， 8.8.2 之前的 Apache Solr 版本會使用伺服器憑證而非原始用戶端憑證來轉送/通過 Proxy 處理分散式要求。
    這會導致接收主機上發生不正確的授權解析。(CVE-2021-29943)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在启动 8.8.2 之前的 Apache Solr 版本时，配置了 SaslZkACLProvider 或 VMParamsAllAndReadonlyDigestZkACLProvider，而且并未包含现有的  security.json znode。如已配置可选的只读用户，则 Solr 不会将该节点视为敏感路径，并允许用户读取该节点。此外，对于任何 ZkACLProvider，如果 security.json 已存在，Solr 将不会自动更新 ACL。(CVE-2021-29262)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Apache Solr 版本为低于 7.7.4 的 7.x，或是低于 8.8.2 的 8.x。因此，该应用程序受到多个漏洞的影响，其中包括： 

  - ReplicationHandler（通常在 Solr 核心下的“/replication”中注册）拥有“masterUrl”（也是“leaderUrl”的别名）参数，可用于指定另一个 Solr 核心上的另一个 ReplicationHandler，以将索引数据复制到本地核心。为避免出现 SSRF 漏洞，Solr 应该根据其用于“分片”参数的类似配置来检查这些参数。在此错误得到修复之前，漏洞并未出现。(CVE-2021-27905)

  - 在启动 8.8.2 之前的 Apache Solr 版本时，配置了 SaslZkACLProvider 或 VMParamsAllAndReadonlyDigestZkACLProvider，而且并未包含现有的  security.json znode。如已配置可选的只读用户，则 Solr 不会将该节点视为敏感路径，并允许用户读取该节点。此外，对于任何 ZkACLProvider，如果 security.json 已存在，Solr 将不会自动更新 ACL。(CVE-2021-29262)     
  - 当使用 ConfigurableInternodeAuthHadoopPlugin 进行身份验证时，8.8.2 之前的 Apache Solr 版本将使用服务器凭据（而非原始客户端凭据）转发/代理分布式请求。
    这将导致接收主机上的错误授权解析。(CVE-2021-29943)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 啟動 8.8.2 之前版本的 Apache Solr (以 SaslZkACLProvider 或 VMParamsAllAndReadonlyDigestZkACLProvider 設定且無任何現有的 security.json znode) 時，如果設定了選用的唯讀使用者，則 Solr 不會將該節點視為敏感路徑，並且允許其可讀。此外，對於任何 ZkACLProvider，如果 security.json 已存在，Solr 將不會自動更新 ACL。(CVE-2021-29262)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートホストで実行されている Apache Solr のバージョンは、7.7.4 より前の 7.x、8.8.2 より前の 8.x です。そのため、以下を含む複数の脆弱性による影響を受けます: 

  - ReplicationHandler (通常、Solr コアの [/replication] で登録) には、[masterUrl] ([leaderUrl] エイリアスでもある) パラメーターがあり、これを使用して別の Solr コアにある別の ReplicationHandler を指定し、ローカルコアにインデックスデータをレプリケートします。SSRF の脆弱性を防ぐために、Solr は [shards] パラメーターに使用する類似の設定に対してこれらのパラメーターをチェックする必要があります。このバグが修正される前は、そうなっていませんでした。(CVE-2021-27905)

  - SaslZkACLProvider または VMParamsAllAndReadonlyDigestZkACLProvider で設定され、既存の security.json znode がない 8.8.2より前の Apache Solr バージョンを起動すると、オプションの読み取り専用ユーザーが設定されている場合、Solr はそのノードを機密パスとして扱わず、読み取り可能にします。さらに、どの ZkACLProvider でも、security.json がすでに存在する場合、Solr は自動的に ACL を更新しません。(CVE-2021-29262)     
  - 認証に ConfigurableInternodeAuthHadoopPlugin を使用する場合、8.8.2 より前の Apache Solr バージョンは、元のクライアント認証情報の代わりにサーバー認証情報を使用して、分散リクエストを転送/プロキシする可能性があります。
    これにより、受信ホストで不適切な認証解決が発生する可能性があります。(CVE-2021-29943)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - SaslZkACLProvider または VMParamsAllAndReadonlyDigestZkACLProvider で設定され、既存の security.json znode がない 8.8.2より前の Apache Solr バージョンを起動すると、オプションの読み取り専用ユーザーが設定されている場合、Solr はそのノードを機密パスとして扱わず、読み取り可能にします。さらに、どの ZkACLProvider でも、security.json がすでに存在する場合、Solr は自動的に ACL を更新しません。(CVE-2021-29262)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of Apache Solr running on the remote host is 7.x prior to 7.7.4, or 8.x prior to 8.8.2. It is, therefore, affected by multiple vulnerabilities, including the following: 

  - The ReplicationHandler (normally registered at '/replication' under a Solr core) has a 'masterUrl' (also     'leaderUrl' alias) parameter that is used to designate another ReplicationHandler on another Solr core to     replicate index data into the local core. To prevent a SSRF vulnerability, Solr ought to check these     parameters against a similar configuration it uses for the 'shards' parameter. Prior to this bug getting     fixed, it did not. (CVE-2021-27905)

  - When starting Apache Solr versions prior to 8.8.2, configured with the SaslZkACLProvider or     VMParamsAllAndReadonlyDigestZkACLProvider and no existing security.json znode, if the optional read-only     user is configured then Solr would not treat that node as a sensitive path and would allow it to be     readable. Additionally, with any ZkACLProvider, if the security.json is already present, Solr will not     automatically update the ACLs. (CVE-2021-29262)     
  - When using ConfigurableInternodeAuthHadoopPlugin for authentication, Apache Solr versions prior to 8.8.2     would forward/proxy distributed requests using server credentials instead of original client credentials.
    This would result in incorrect authorization resolution on the receiving hosts. (CVE-2021-29943)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When starting Apache Solr versions prior to 8.8.2, configured with the SaslZkACLProvider or     VMParamsAllAndReadonlyDigestZkACLProvider and no existing security.json znode, if the optional read-only     user is configured then Solr would not treat that node as a sensitive path and would allow it to be     readable. Additionally, with any ZkACLProvider, if the security.json is already present, Solr will not     automatically update the ACLs. (CVE-2021-29262)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
416351	SCA: security update for org.apache.solr:solr-core (GHSA-jgcr-fg3g-qvw8)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
416351	SCA: security update for org.apache.solr:solr-core (GHSA-jgcr-fg3g-qvw8)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
181481	Apache Solr 7.x < 7.7.4 / 8.x < 8.8.2 多個弱點	Nessus	CGI abuses	2023/9/15	2023/9/18	critical
255670	Linux Distros 未修补的漏洞：CVE-2021-29262	Nessus	Misc.	2025/8/27	2025/8/27	high
181481	Apache Solr 7.x < 7.7.4 / 8.x < 8.8.2 多个漏洞	Nessus	CGI abuses	2023/9/15	2023/9/18	critical
255670	Linux Distros 未修補的弱點：CVE-2021-29262	Nessus	Misc.	2025/8/27	2025/8/27	high
181481	Apache Solr 7.x < 7.7.4 / 8.x < 8.8.2 の複数の脆弱性	Nessus	CGI abuses	2023/9/15	2023/9/18	critical
255670	Linux Distros のパッチ未適用の脆弱性: CVE-2021-29262	Nessus	Misc.	2025/8/27	2025/8/27	high
181481	Apache Solr 7.x < 7.7.4 / 8.x < 8.8.2 Multiple Vulnerabilities	Nessus	CGI abuses	2023/9/15	2023/9/18	critical
255670	Linux Distros Unpatched Vulnerability : CVE-2021-29262	Nessus	Misc.	2025/8/27	2025/8/27	high

检测

插件搜索

high

high

critical

high

critical

high

critical

high

critical

high