CVE-2022-42889: Apache Commons Text anterior a 1.10.0 permite RCE cuando se aplica a entrada no confiable debido a valores predeterminados de interpolación inseguros | Kitploit

CVE-2022-42889

CríticoPublicado

Apache Commons Text anterior a 1.10.0 permite RCE cuando se aplica a entrada no confiable debido a valores predeterminados de interpolación inseguros

Publicado: 13 oct 2022
Actualizado: 20 nov 2024
Asignación de CNA: apache
Evidencia observada: 18 abr 2025

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

99,9 %

Alto · próximos 30 días

Percentil: 100,0 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

Apache Commons Text lleva a cabo una interpolación de variables, permitiendo que las propiedades sean evaluadas y expandidas dinámicamente. El formato estándar para la interpolación es "${prefix:name}", donde "prefix" es usado para localizar una instancia de org.apache.commons.text.lookup.StringLookup que lleva a cabo la interpolación. A partir de la versión 1.5 y hasta 1.9, el conjunto de instancias de Lookup por defecto incluía interpoladores que podían dar lugar a una ejecución de código arbitrario o al contacto con servidores remotos. Estos lookups son: - "script" - ejecuta expresiones usando el motor de ejecución de scripts de la JVM (javax.script) - "dns" - resuelve registros dns - "url" - carga valores de urls, incluso de servidores remotos Las aplicaciones usando los interpoladores por defecto en las versiones afectadas pueden ser vulnerables a una ejecución de código remota o al contacto involuntario con servidores remotos si son usados valores de configuración que no son confiables. Es recomendado a usuarios actualizar a Apache Commons Text versión 1.10.0, que deshabilita los interpoladores problemáticos por defecto

Fuentes

Apache-Commons-Text-CVE-2022-42889Escáner
Perfil de Burp Bounty para detectar Apache Text4Shell (CVE-2022-42889), un RCE en Commons Text 1.5-1.9, escaneando solicitudes HTTP.
CVE-2022-42889PoC

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.