CVE-2022-42889
Apache Commons Text vor 1.10.0 ermöglicht RCE bei Anwendung auf nicht vertrauenswürdige Eingaben aufgrund unsicherer Interpolations-Standardwerte.
- Veröffentlicht
- 13.10.2022
- Aktualisiert
- 20.11.2024
- CNA zuweisen
- apache
- Beweise beobachtet
- 18.04.2025
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 100,0 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Apache Commons Text führt Variableninterpolation durch, sodass Eigenschaften dynamisch ausgewertet und expandiert werden können. Das Standardformat für die Interpolation ist „${prefix:name}“, wobei „prefix“ verwendet wird, um eine Instanz von org.apache.commons.text.lookup.StringLookup zu finden, die die Interpolation durchführt. Ab Version 1.5 und bis einschließlich 1.9 enthielt die Standardmenge der Lookup-Instanzen Interpolatoren, die eine beliebige Codeausführung oder Kontaktaufnahme mit entfernten Servern ermöglichen konnten. Diese Lookups sind: - „script“ – Ausdrücke mit der JVM-Skriptausführungs-Engine (javax.script) ausführen - „dns“ – DNS-Einträge auflösen - „url“ – Werte aus URLs laden, einschließlich von entfernten Servern Anwendungen, die die Interpolationsstandards in den betroffenen Versionen verwenden, können anfällig für Remote-Codeausführung oder unbeabsichtigte Kontaktaufnahme mit entfernten Servern sein, wenn nicht vertrauenswürdige Konfigurationswerte verwendet werden. Benutzern wird empfohlen, auf Apache Commons Text 1.10.0 zu aktualisieren, das die problematischen Interpolatoren standardmäßig deaktiviert.
Quellen
modules/exploits/multi/http/apache_commons_text4shell.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Java,Linux,Unix,Windows($.exploit_multi/http/apache_commons_text4shell.platform)
- verification: check_declared($.exploit_multi/http/apache_commons_text4shell.check)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.