CVE-2022-42889
Apache Commons Text antérieur à la version 1.10.0 permet une RCE lorsqu'il est appliqué à des entrées non fiables en raison de paramètres d'interpolation par défaut non sécurisés.
- Publié
- 13 oct. 2022
- Mise à jour
- 20 nov. 2024
- Attribution de CNA
- apache
- Preuve observée
- 18 avr. 2025
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 100,0 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Apache Commons Text effectue une interpolation de variables, permettant d'évaluer et de développer dynamiquement des propriétés. Le format standard d'interpolation est "${prefix:name}", où "prefix" est utilisé pour localiser une instance de org.apache.commons.text.lookup.StringLookup qui effectue l'interpolation. De la version 1.5 à la version 1.9, l'ensemble des instances Lookup par défaut incluait des interpolateurs pouvant entraîner l'exécution de code arbitraire ou un contact avec des serveurs distants. Ces lookups sont: - "script" - exécuter des expressions à l'aide du moteur d'exécution de scripts JVM (javax.script) - "dns" - résoudre des enregistrements DNS - "url" - charger des valeurs depuis des URL, y compris depuis des serveurs distants Les applications utilisant les valeurs par défaut d'interpolation dans les versions concernées peuvent être vulnérables à une exécution de code à distance ou à un contact involontaire avec des serveurs distants si des valeurs de configuration non fiables sont utilisées. Il est recommandé aux utilisateurs de mettre à niveau vers Apache Commons Text 1.10.0, qui désactive les interpolateurs problématiques par défaut.
Sources
- Apache Commons Text RCEModule
modules/exploits/multi/http/apache_commons_text4shell.rb
Metasploit Framework modulesConditions déclarées
- platform: Java,Linux,Unix,Windows($.exploit_multi/http/apache_commons_text4shell.platform)
- verification: check_declared($.exploit_multi/http/apache_commons_text4shell.check)
Profil Burp Bounty pour détecter Apache Text4Shell (CVE-2022-42889), une RCE dans Commons Text 1.5-1.9, en analysant les requêtes HTTP.
Exploit PoC RCE pour la vulnérabilité Apache Commons Text
Exploit automatisé pour CVE-2022-42889 (Text4Shell) avec une application Dockerisée vulnérable pour les tests et des conseils d'exploitation manuelle.
Une simple application dockerisée qui montre comment exploiter la vulnérabilité CVE-2022-42889.
Ce dépôt contient un script Python pour automatiser le processus de test d'une vulnérabilité connue sous le nom de Text4Shell, référencée sous l'identifiant CVE : CVE-2022-42889.
cve-2022-42889 Text4Shell CVE-2022-42889 affecte Apache Commons Text versions 1.5 à 1.9. La faille a été corrigée à partir de la version 1.10 de Commons Text.
- CVE-2022-42889-RCEExploit
Preuve de concept pour CVE-2022-42889 (Vulnérabilité Text4Shell)
# Environnement de laboratoire basé sur Docker pour démontrer et tester la vulnérabilité d'exécution de code à distance CVE-2022-42889 (Text4Shell) dans Apache Commons Text.
Environnement de laboratoire basé sur Docker pour reproduire et tester la vulnérabilité d'exécution de code à distance CVE-2022-42889 (Text4Shell) dans Apache Commons Text.
- CVE-2022-42889Exploit
Exploit Python pour CVE-2022-42889 (Text4Shell) permettant l'exécution de code à distance via l'interpolation Apache Commons Text. Prend en charge la génération de shell inversé, le SSRF et l'exécution de commandes personnalisées.
- CVE-2022-42889-text4shellExploit
Preuve de concept (PoC) pour CVE-2022-42889 (Text4Shell) ciblant les versions d'Apache Commons Text antérieures à 1.10.0. Ce script automatise l'exécution de code à distance (RCE) via l'interpolation de script pour établir un shell inverse. Cette version est une optimisation structurée basée sur l'exploit original trouvé sur Exploit-DB (ID : 52261).
Application de démonstration pour CVE-2022-42889 (Apache Commons Text RCE) avec configuration Docker et exécution de commandes basée sur netcat pour les tests de sécurité et l'éducation.
Environnement de laboratoire basé sur Docker pour reproduire et tester la vulnérabilité d'exécution de code à distance Text4Shell (CVE-2022-42889) dans Apache Commons Text.
Preuve de concept Dockerisée pour CVE-2022-42889 (Text4Shell) avec des charges utiles RCE basées sur des scripts, des recherches DNS et URL pour les tests de sécurité et l'éducation.
Exploit de preuve de concept pour CVE-2022-42889 (Text4Shell) dans Apache Commons Text, avec des scripts d'exploitation manuelle et de masse utilisant des recherches de type script, URL et DNS.
Configuration et recréation de l'exploit pour CVE-2022-42889 Text4Shell.
# Application Java vulnérable dockerisée démontrant l'exécution de code à distance CVE-2022-42889 (Text4Shell) via les recherches de chaînes Apache Commons Text, à des fins de tests de sécurité et d'éducation.
Application d'exemple dockerisée pour CVE-2022-42889 (Apache Commons Text RCE)
- CVE-2022-42889Exploit
Script Python pour CVE-2022-42889
- CVE-2022-42889-AnalysisRecherche
Rapport d'analyse de la vulnérabilité CVE-2022-42889
Preuve de concept pour la vulnérabilité Apache commons-text CVE-2022-42889.
Application de preuve de concept pour le test de CVE-2022-42889
- Text4ShellPayloadsExploit
Ce projet inclut un script Python qui génère des commandes malveillantes exploitant la vulnérabilité CVE-2022-42889.
CVE-2022-42889 (a.k.a. Text4Shell) RCE Preuve de concept
- text4shell-exploitExploit
Un exploit personnalisé basé sur Python de type proof-of-concept (PoC) ciblant Text4Shell (CVE-2022-42889), une vulnérabilité critique d'exécution de code à distance dans Apache Commons Text versions < 1.10.
Une application web volontairement vulnérable pour vous faire la main avec CVE-2022-42889.
- cve-2022-42889-interceptExploit
Intercepter les paramètres illégaux via les paramètres de démarrage jvm et le pid jps
CVE-2022-42889 alias Text4Shell recherche & PoC
- log4j-scanScanner
Un scanner entièrement automatisé, précis et exhaustif pour la détection de log4j RCE CVE-2021-44228
CVE-2022-42889 - Text4Shell exploit
Preuve de concept d'exploitation pour CVE-2022-42889 (Text4Shell), démontrant l'exécution de code à distance via la substitution de chaînes Apache Commons Text.
Preuve de concept pour CVE-2022-42889 (Text4Shell), démontrant l'exécution de code à distance via la substitution de chaînes d'Apache Commons Text.
Laboratoire Kubernetes pour CVE-2022-42889
POC dockerisé pour CVE-2022-42889 Text4Shell
- cve-2022-42889-checkScanner
Vérificateur léger basé sur Java pour CVE-2022-42889 (Apache Commons Text RCE). Valide rapidement si une cible est vulnérable à la faille d'exécution de code à distance Text4Shell.
Dockerisé preuve de concept pour l'exploitation de la vulnérabilité CVE-2022-42889 (Text4Shell) dans Apache Commons Text, permettant des tests et une validation de sécurité reproductibles.
- CVE-2022-42889Exploit
Modèle Nuclei CVE-2022-42889 Blind-RCE
- CVE-2022-42889Exploit
exploit pour CVE-2022-42889
- text4shellPoC
Démonstration de la vulnérabilité d'exécution de code à distance CVE-2022-42889 (Text4Shell) dans Apache Commons Text avec un exploit de preuve de concept.
Log4Shell / Log4J Payload - CVE-2021-45046 et CVE-2022-42889
Une application simple qui montre comment exploiter la vulnérabilité CVE-2022-42889
docker pour CVE-2022-42889
Application de preuve de concept démontrant la vulnérabilité RCE CVE-2022-42889 dans Apache Commons Text 1.9 avec des étapes d'exploitation reproductibles pour les tests de sécurité et l'éducation.
CVE-2022-42889 Exploit POC Text4Shell
Bibliothèque Java pour les algorithmes de manipulation de chaînes, fournie avec un exploit de preuve de concept pour CVE-2022-42889 afin de démontrer et tester la vulnérabilité.
Text4Shell
- Text4shell-exploitExploit
# Script Python pour exploiter la RCE de CVE-2022-42889
Exploit de preuve de concept pour CVE-2022-42899, démontrant une exécution de code à distance dans Apache Commons Text 1.5-1.9 via l'interpolation de StringSubstitutor avec des charges utiles script:javascript.
Collection de preuves de concept (PoC) d'exploits et d'analyses techniques pour des CVE à fort impact, couvrant la corruption de mémoire des navigateurs, l'exécution de code à distance (RCE) via TCP/IP et les vulnérabilités d'applications web.
Arjun Chaudhary · multiple · 18 avr. 2025
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.