CVE-2022-42889-PoC

Концепт-доказательство (Proof of Concept) для эксплойта удалённого выполнения кода CVE-2022-42889 (уязвимость Text4Shell).
Поставьте ⭐ для поддержки ❤️

Об этой уязвимости

CVE-2022-42889 — это новая критическая уязвимость, похожая на Spring4Shell и Log4Shell. Это уязвимость класса RCE (Remote Code Execution, удалённое выполнение кода) с показателем серьёзности 9.8. Она позволяет хакеру выполнять произвольный вредоносный код на атакованной машине. Затронуты версии Apache Commons Text с 1.5 по 1.9.

Как это работает

Apache Commons Text выполняет интерполяцию переменных, позволяя динамически вычислять и разворачивать свойства. Стандартный формат интерполяции — "${prefix:name}", где "prefix" используется для поиска экземпляра org.apache.commons.text.lookup.StringLookup, который выполняет интерполяцию. Начиная с версии 1.5 и до 1.9, набор стандартных экземпляров Lookup включал интерполяторы, которые могли привести к выполнению произвольного кода или контакту с удалёнными серверами. Эти lookup-интерполяторы: - "script" — выполняет выражения с помощью движка выполнения сценариев JVM (javax.script) - "dns" — разрешает DNS-записи - "url" — загружает значения из URL, включая удалённые серверы. Приложения, использующие стандартные интерполяции в затронутых версиях, могут быть уязвимы к удалённому выполнению кода или непреднамеренному контакту с удалёнными серверами, если используются ненадёжные значения конфигурации. - cve.mitre.org

Как защититься

Вам просто нужно обновить этот сервис до версии =< 1.10

Задачи