cve-2022-42889-intercept

cve-2022-42889-intercept

• Versões abaixo do Java 11 requerem atenção; versões superiores já removeram o interpretador Javascript
• Esta solução é direcionada ao Java 8

Interceptação de parâmetros ilegais por meio de parâmetros de inicialização da JVM e do jps pid

início rápido

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

Modos de ativação

Um Java agent carregado remotamente via Attach API não será mais executado antes do método main; isso depende do momento em que outra máquina virtual chama a Attach API. Além disso, o que ele executa não é mais o método premain, mas sim um método chamado agentmain. Uma máquina virtual Java não limita o número de Java agents. Você pode adicionar vários parâmetros -javaagent após o comando java, ou anexar (attach) remotamente vários Java agents, e a máquina virtual Java os executará um a um na ordem definida ou na ordem de attach.

• premain
• parâmetros de inicialização do java

-javaagent:/path/to/dir/CVE-2022-42889-Agent-1.0-SNAPSHOT-jar-with-dependencies.jar

• agentmain
• jps (injeção de pid)
• executar o método main de Attach (primeiro incluir tools.jar)