CVE-2022-33980

요약

Apache Commons Configuration은 변수 보간(variable interpolation)을 수행하여 속성(property)을 동적으로 평가하고 확장할 수 있게 합니다. 보간의 표준 형식은 "${prefix:name}"이며, "prefix"는 보간을 수행하는 org.apache.commons.configuration2.interpol.Lookup 인스턴스를 찾는 데 사용됩니다. 버전 2.4부터 2.7까지, 기본 Lookup 인스턴스 집합에는 임의 코드 실행 또는 원격 서버와의 접촉을 초래할 수 있는 인터폴레이터(interpolator)가 포함되어 있었습니다. 이러한 lookup은 다음과 같습니다: - "script" - JVM 스크립트 실행 엔진(javax.script)을 사용하여 표현식 실행 - "dns" - DNS 레코드 확인 - "url" - 원격 서버를 포함한 URL에서 값 로드 영향을 받는 버전에서 기본 보간 설정을 사용하는 애플리케이션은 신뢰할 수 없는 구성 값이 사용될 경우 원격 코드 실행 또는 의도하지 않은 원격 서버 접촉에 취약할 수 있습니다. 사용자는 기본적으로 문제가 되는 인터폴레이터를 비활성화하는 Apache Commons Configuration 2.8.0으로 업그레이드할 것을 권장합니다.

• CVE-2022-33980PoC

  CVE

• riskootext4shell익스플로잇

  text4shell text coomons <=1.10 CVE-2022-33980용 스크립트

• CVE-2022-33980-POCPoC

  CVE-2022-33980용 개념 증명(PoC) 익스플로잇으로, Apache Commons Configuration을 통한 원격 코드 실행(RCE)을 시연합니다. 취약점 검증 및 보안 테스트에 유용합니다.