cve-2022-42889-intercept

cve-2022-42889-intercept

• Java 11 미만 버전은 주의가 필요합니다. 더 높은 버전에서는 Javascript 인터프리터가 제거되었습니다.
• 이번 방안은 Java 8을 대상으로 합니다.

JVM 시작 매개변수와 jps pid를 통해 불법 매개변수를 차단합니다.

빠른 시작

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

실행 방법

Attach API를 사용하여 원격으로 로드된 Java 에이전트는 더 이상 main 메서드보다 먼저 실행되지 않습니다. 이는 다른 가상 머신이 Attach API를 호출하는 시점에 따라 달라집니다. 또한 실행되는 것은 premain 메서드가 아니라 agentmain이라는 메서드입니다. Java 가상 머신은 Java 에이전트의 수를 제한하지 않습니다. java 명령 뒤에 여러 -javaagent 매개변수를 추가하거나 여러 Java 에이전트를 원격으로 attach할 수 있으며, Java 가상 머신은 정의된 순서 또는 attach된 순서대로 이러한 Java 에이전트를 하나씩 실행합니다.

• premain
• java 시작 매개변수

-javaagent:/path/to/dir/CVE-2022-42889-Agent-1.0-SNAPSHOT-jar-with-dependencies.jar

• agentmain
• jps （pid 주입）
• Attach의 main 메서드 실행 (tools.jar를 먼저 포함)