2019年10月31日，北京网络与信息安全信息通报中心发布消息称，Apache Solr Velocity模板存在注入远程命令执行漏洞。 此漏洞可以直接在最新版本的Apache Solr8.2. 0中引起远程代码执行，影响范围包括所有版本。 Apache Solr是一款高性能、基于Lucene的企业级全文服务器，采用Java5开发，由于其软件的开源属性，目前很多企业都在使用Solr服务。 该网络和信息安全信息通报中心特组织技术部门对该漏洞进行技术分析，具体漏洞情况、影响范围及安全工作提示总结如下。
一、脆弱性基本情况
Apache Solr的默认集成VelocityResponseWriter插件。 此插件初始化参数中的params.resource.loader.enabled参数主要用于控制参数资源加载器是否可以在Solr请求参数中指定模板，该参数的数据攻击者可以在POST请求中直接更改集合设置，并将params.resource.loader.enabled参数设置为true。 然后设置请求的参数以指定要加载的资源。 精心构建并发送相应的GET请求，导致远程代码执行漏洞
二.影响范围
目前，根据安全制造商的统计，此漏洞可能会影响Apache Solr 8.2.0或更低版本的所有版本。
三.安全提示
此漏洞目前处于0天状态，因为政府尚未发布合适的修补程序。 请采取以下两项预防措施。
一种是尽量限制不可靠源对Solr的访问，或者向Solr添加适当的登录验证。
二是关注官网，发布官方针对这个漏洞的补丁后及时更新。
(来源：首都网警)