建議Solr 用戶更新 Apache POI

2021-01-08 開源中國

親愛的 Apache Solr 用戶，Apache Solr 版本 4.8.0，4.8.1 和 4.9.0 都綁定了 Apache POI 3.10-beta2 版本，這個版本包含了兩個漏洞：

= CVE-2014-3529: XML External Entity (XXE) problem in Apache POI's OpenXML parser =Type: Information disclosure= CVE-2014-3574: XML Entity Expansion (XEE) problem in Apache POI's OpenXML parser =Type: Denial of service

Apache POI 今天發布了 bug 修復版本 3.10.1，已經修復了上述漏洞。

Apache Solr 更新 Apache POI 方法：

- 下載 Apache POI 3.10.1 二進位版本： - 解壓文件- 刪除 "solr-4.X.X/contrib/extraction/lib" 文件夾的以下文檔： # poi-3.10-beta2.jar # poi-ooxml-3.10-beta2.jar # poi-ooxml-schemas-3.10-beta2.jar # poi-scratchpad-3.10-beta2.jar # xmlbeans-2.3.0.jar- 複製下列文件到 "solr-4.X.X/contrib/extraction/lib" 文件夾： # poi-3.10.1-20140818.jar # poi-ooxml-3.10.1-20140818.jar # poi-ooxml-schemas-3.10.1-20140818.jar # poi-scratchpad-3.10.1-20140818.jar- 從 POI 的 "ooxml-lib/" 文件夾複製 "xmlbeans-2.6.0.jar" 到 "solr-4.X.X/contrib/extraction/lib" 文件夾- 確認 "solr-4.X.X/contrib/extraction/lib" 不再含有任何 "3.10-beta2" 版本的文件- 確認文件夾包含一個版本 2.6.0 的 xmlbeans JAR 文件如果你只是想禁用微軟 Office 文檔提取，刪除，不想替換他們。"Solr Cell" 會自動進行自動保護，並且禁用文檔提取。

強烈建議更新 Apache POI 最新版本，更多內容請看這裡。

相關焦點

  • Apache Solr Velocity模板注入遠程命令執行漏洞
    用戶可以通過http請求，向搜尋引擎伺服器提交一定格式的XML文件，生成索引；也可以通過Http Get操作提出查找請求，並得到XML格式的返回結果。當params.resource.loader.enabled設置為true，將允許用戶通過設置請求中的參數來指定相關資源的加載，這也就意味著攻擊者可以通過構造一個惡意的請求，在伺服器上進行命令執行,從而獲取伺服器的權限。0x02 影響範圍應該是影響solr5(暫不確定)到最新版本.
  • 「漏洞預警」Apache Solr Velocity模板遠程代碼執行復現
    參考連結感謝：清水https://lucene.apache.org/solr/發現 | 發掘為隨時發生的網安動態發聲資訊|乾貨|案例|威脅|動態
  • Centos6.5 solr4.5 主從部署文檔
    實現solr主，輔伺服器索引更新同步，每次客戶端COMMIT請求都會及時應用在輔伺服器上。2. 實現multicore，實際生產環境中往往會有多個搜索應用實例。軟體環境Linux centos6.5 64位應用容器：apache+tomcat 7.0JAVA版本：JDK1.7以上版本solr應用環境目錄：/usr/local/tomcat/solrhome (可使用ln –s 創建軟連接)Solr索引目錄：/solrhome/multicore/mallcar/ data/
  • Apache Solr 爆遠程執行漏洞,請立即限制對外埠
    截止目前該漏洞還未上報獲得PVE編號，Solr官方也沒有任何漏洞的補丁，建議使用Solr的用戶通過策略性設置封禁8983埠埠對外開放，以防止被人攻擊。漏洞介紹：Velocity Java 模板引擎： Velocity是一個基於Java的模板引擎。它允許任何人使用簡單但功能強大的模板語言來引用Java代碼中定義的對象。
  • 使用 EasyPOI 優雅導出Excel模板數據(含圖片)
    需要注意的是，Apache POI的4.0.0相對之前的版本有很大的變更，如果之前代碼中Excel操作部分依賴於舊的版本，那麼不建議使用4.0.0及之後的版本。當然，如果之前代碼不涉及或很少涉及WorkBook的創建細節，使用新版也沒有問題。
  • easypoi 4.2 更新,支持在線預覽,基於 wps 雲服務
    更新內容- 4.2.0 增加wps模塊 模板添加了index常量列 修復橫向迭代的時候,合併問題 添加XLSX水印工具類 修復 SAX
  • 開源搜尋引擎solr介紹
    1 什麼是solr？「內事不決問百度，外事不決問谷歌」，相信大家對百度、谷歌等搜尋引擎都很熟悉了。網上信息浩瀚萬千，而且毫無秩序，所以搜尋引擎對用戶的作用就體現出來了。不過，因為商業原因，百度、谷歌等搜尋引擎都不是開源的。但是，大家不用擔心，有閉源的，當然也有開源的搜尋引擎。
  • Jazz公司solriamfetol在美國監管時間表延長3個月
    Jazz製藥公司近日宣布，美國食品和藥物管理局（FDA）已延長了solriamfetol新藥申請（NDA）的審查期限，該藥用於治療成人發作性睡病（伴或不伴猝倒症）或阻塞性睡眠呼吸暫停（OSA），改善和減少白天過度嗜睡（EDS）。更新後的處方藥用戶收費法（PDUFA）目標日期為2019年3月20日。
  • Solr的部署模式詳解
    適用於數據規模大，高可靠、高可用、高並發的場獨立伺服器模式架構1、每個solr伺服器實例（啟動的一個solr伺服器進程）都有一個solr主目錄（系統變量名為：solr.solr.home）。查看本機上運行的solr服務實例的狀態bin/solr status停止solr服務實例bin/solr stop [options]bin/solr stop -helpbin/solr stop –p portbin/solr stop -allcore 內核管理內核core
  • Jazz公司solriamfetol在美國監管時間表延長3個月
    Jazz製藥公司近日宣布，美國食品和藥物管理局（FDA）已延長了solriamfetol新藥申請（NDA）的審查期限，該藥用於治療成人發作性睡病（伴或不伴猝倒症）或阻塞性睡眠呼吸暫停（OSA），改善和減少白天過度嗜睡（EDS）。更新後的處方藥用戶收費法（PDUFA）目標日期為2019年3月20日。
  • Apache RocketMQ 4.4.0 發布
    其中，用戶可以通過 yaml 配置文件來定義權限訪問的相關屬性，包括白名單 IP 地址、用戶的 AK/SK 訪問秘鑰對、Topic 和 ConsumerGroup 的訪問權限。這樣，Topic 資源之間也就具備了一定的隔離性，用戶無法訪問沒有權限的 Topic 資源。同時，開源用戶使用帶有 ACL 鑑權信息的開源客戶端可以無縫對接雲 MQ，而無需對業務系統進行任何的其他改造。
  • poi!poi!poi!「艦隊collection」艦娘萌萌噠Gif動圖放送
    poi!poi!poi!
  • solr之http請求查詢記錄兩點
    今天犯了兩個很傻的錯誤，特此記錄一下，避免日後再犯：(1) solr提供http請求相關API：平常通過瀏覽器直接訪問：http://192.168.133.129:8983/solr/#/test/query，輸入查詢條件即可，但是由於request
  • Java程式設計師必看:Solr vip競價排名
    功能介紹本文將使用solr完成vip等級排名，這裡並不是簡單的按照vip等級排序。而是在使用solr條件查詢(不使用排 序)的時候將符合條件並且具有vip等級的數據顯示在前面，這個時候咱們就要使用solr底層提供的自定義評分 機制來完成。
  • Apache Pulsar 2.6.1 版本正式發布:功能增強,新增 OAuth2 支持
    更多詳情查看 PR-6865：https://github.com/apache/pul...。📣 解決 Key_Shared 中使用粘性 hash range 導致的哈希範圍衝突問題在以前的版本中，當用戶在 Key_Shared 訂閱模型中使用 「stickyHashRange」 時，consumer 指定的 hash 範圍不允許重疊。
  • 雲安全日報201204:Apache Tomcat應用伺服器發現信息洩露漏洞,需要...
    Apache HTTP Server（簡稱Apache）是Apache軟體基金會的一個開放源碼的網頁(Web)伺服器，可以在大多數計算機作業系統中運行，由於其多平臺和安全性被廣泛使用，是最流行的Web伺服器端軟體之一.Tomcat是由Apache軟體基金會下屬的Jakarta項目開發的一個Servlet容器,它是一個小型的輕量級應用伺服器，在中小型系統和並發訪問用戶不是很多的場合下被普遍使用
  • Excel 和 Word 簡易工具類 JEasyPoi 2.1.5 發布
    JEasyPoi 功能如同名字easy，主打的功能就是容易，可以讓一個沒接觸過poi的人方便地寫出 Excel 導出、Excel 模板導出、Excel 導入與 Word 模板導出等功能，通過簡單的註解和模板語言(熟悉的表達式語法)，完成以往複雜的寫法。
  • 什麼是 ALC (Apache Local Community) Beijing?
    要改變這樣的狀況，需要有更多深度參與 ASF 項目人向大家介紹深度參與開源項目的經驗，幫助更多的 ASF 項目用戶從單純的使用者轉變成為開源項目的開發者。機會只會遲到，但永遠不會缺席，過了大約十幾年，終於迎來了一次真正的機會。
  • 嗜睡新藥solriamfetol歐盟批准在即:治療發作性睡病/阻塞性睡眠...
    2019年11月19日/生物谷BIOON/--Jazz製藥公司近日宣布，歐洲藥品管理局（EMA）人用醫藥產品委員會（CHMP）已發布積極審查意見，推薦批准solriamfetol，用於患有發作性睡病（有或無暈厥）或阻塞性睡眠呼吸暫停（OSA）的成人患者，改善覺醒（wakefulness）和減少白天過度嗜睡（EDS），具體為：其EDS採用主要的
  • Apache SkyWalking(Incubating) 5.0.0-alpha 發布
    在後續的版本中，UI和功能都將根據社區的反饋情況，得到持續的更新和升級。大家可以前往如下地址下載我們的發布包：l  Apache官網：http://skywalking.apache.org/downloads/l  GitHub發布頁面：https://github.com/apache/incubator-skywalking