cve-2022-42889-intercept

cve-2022-42889-intercept

• Achtung: Versionen unter Java11, höhere Versionen haben den Javascript-Interpreter entfernt.
• Dieses Programm ist für Java8 gedacht.

Durch JVM-Startparameter und jps-PID werden illegale Parameter abgefangen.

Schnellstart

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

Startmethoden

Ein über die Attach-API remote geladener Java-Agent wird nicht vor der main-Methode ausgeführt; dies hängt vom Zeitpunkt ab, zu dem eine andere VM die Attach-API aufruft. Außerdem wird nicht die premain-Methode ausgeführt, sondern eine namens agentmain. Die Java-VM beschränkt nicht die Anzahl der Java-Agents. Du kannst dem java-Befehl mehrere -javaagent-Parameter anhängen oder remote mehrere Java-Agents attachieren. Die Java-VM führt diese Java-Agents in der definierten bzw. Attach-Reihenfolge aus.

• premain
• Java-Startparameter

-javaagent:/path/to/dir/CVE-2022-42889-Agent-1.0-SNAPSHOT-jar-with-dependencies.jar

• agentmain
• jps (PID-Injektion)
• Führe die main-Methode von Attach aus (zuerst tools.jar einbinden).