cve-2022-42889-intercept

cve-2022-42889-intercept

• Java11 से कम संस्करणों पर ध्यान दें, उच्च संस्करणों ने Javascript इंटरप्रेटर हटा दिया है।
• यह समाधान Java8 के लिए है।

jvm स्टार्टअप पैरामीटर और jps pid के माध्यम से अवैध पैरामीटरों को रोकें।

त्वरित प्रारंभ

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

खोलने का तरीका

Attach API का उपयोग करके दूरस्थ रूप से लोड किया गया Java agent main विधि से पहले निष्पादित नहीं होगा, यह दूसरे वर्चुअल मशीन द्वारा Attach API को कॉल करने के समय पर निर्भर करता है। साथ ही, यह अब premain विधि नहीं चलाता, बल्कि agentmain नामक विधि चलाता है। Java वर्चुअल मशीन Java agent की संख्या को सीमित नहीं करता। आप java कमांड के बाद कई -javaagent पैरामीटर जोड़ सकते हैं, या दूरस्थ रूप से कई Java agent attach कर सकते हैं; Java वर्चुअल मशीन इन Java agent को परिभाषा क्रम में, या attach के क्रम में एक-एक करके निष्पादित करेगी।

• premain
• java स्टार्टअप पैरामीटर

-javaagent:/path/to/dir/CVE-2022-42889-Agent-1.0-SNAPSHOT-jar-with-dependencies.jar

• agentmain
• jps （pid इंजेक्शन）
• Attach की main विधि निष्पादित करें (पहले tools.jar शामिल करें)