Script de test pour CVE-2022-42889 (Text4Shell)

Ce dépôt contient un script Python pour automatiser le processus de test d'une vulnérabilité connue sous le nom de Text4Shell, référencée sous l'identifiant CVE : CVE-2022-42889.

À propos de Text4Shell (CVE-2022-42889)

Text4Shell est une vulnérabilité critique qui affecte un large éventail de systèmes. La vulnérabilité réside dans la manière dont ces systèmes analysent les chaînes de texte et permet l'exécution de code arbitraire ou des attaques SSRF. Elle est exploitée via des chaînes spécialement conçues, où soit du code JavaScript est exécuté (menant à une exécution de code à distance (RCE)), soit des URL sont récupérées (menant à une falsification de requête côté serveur (SSRF)).

D'après Tarlogic :

• Exigences d'exploitation :

• L'application accepte une entrée contrôlée par l'utilisateur qui est ensuite traitée par l'une des méthodes suivantes du composant affecté :

  • StringLookupFactory.INSTANCE.interpolatorStringLookup().lookup()
  • StringSubstitutor.createInterpolator().replace()

• Les versions de Java égales ou supérieures à Java 15 ne seraient pas susceptibles d'exécution de code à distance, car le moteur Nashorn est désactivé et le préfixe « script » ne serait pas disponible. Cependant, d'autres attaques via les préfixes « url » et « dns » seraient possibles.

Utilisation du script

Ce script Python aide à tester la présence de la vulnérabilité Text4Shell dans un système. Le périmètre de ce script inclut : le test des préfixes script et url.