JVNDB-2026-017806

Apache Software FoundationのApache Solrにおける複数の脆弱性

Apache Solr のバージョン9.4.0から9.10.1および10.0.0において、Basic Authentication 設定ツール（bin/solr auth enable）にハードコードされた認証情報が存在します。このため、リモートの攻撃者がユーザー指定のアカウントを使い、公開されている既知のデフォルト認証情報を利用してクラスタに対して完全な管理アクセスを取得する可能性があります。すぐに対処するためには、アップグレードをしなくてもsecurity.jsonからテンプレートユーザー（superadmin、admin、search、index）を削除するか、パスワードを変更してください。将来リリースされるバージョン9.11.0および10.1.0ではこの脆弱性が修正されており、アップグレードするだけで問題が解決します。影響を受けない場合は、bin/solr auth enableを使用してBasicAuthをブートストラップしていないクラスタ、またはブートストラップ後にテンプレートユーザーに強力なパスワードが設定されているクラスタです。

Apache Software Foundation

• Apache Solr 9.4.0 から 9.10.1
• Apache Solr 10.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-44825: Apache Solr: Enabling BasicAuth using bin/solr CLI configures additional insecure users-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-44825: Apache Solr: Enabling BasicAuth using bin/solr CLI configures additional insecure users

1. リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]
2. ハードコードされた認証情報の使用(CWE-798) [その他]

1. CVE-2026-44825

1. National Vulnerability Database (NVD) : CVE-2026-44825

• [2026年06月04日]
    掲載