cve-2022-42889-intercept

cve-2022-42889-intercept

• Notez que pour les versions inférieures à Java 11, les versions supérieures ont supprimé l'interpréteur Javascript
• Cette solution cible Java8

Interceptez les paramètres illégaux via les paramètres de démarrage JVM et le PID jps

Démarrage rapide

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

Utilisation

Un agent Java chargé à distance via l'API Attach ne s'exécutera pas avant la méthode main, cela dépend du moment où une autre machine virtuelle appelle l'API Attach. De plus, il n'exécute pas non plus la méthode premain, mais une méthode appelée agentmain. La machine virtuelle Java ne limite pas le nombre d'agents Java. Vous pouvez ajouter plusieurs paramètres -javaagent après la commande java, ou attacher à distance plusieurs agents Java. La machine virtuelle Java exécutera ces agents Java un par un dans l'ordre de définition ou d'attachement.