cve-2022-42889-intercept

cve-2022-42889-intercept

• Версии ниже Java 11 требуют внимания: в более новых версиях интерпретатор Javascript уже удалён.
• Данное решение предназначено для Java 8.

Перехват недопустимых аргументов через параметры запуска JVM и PID через jps.

Быстрый старт

-----------------------load......
cve-2022-42889 check start
cve-2022-42889 is_deep_match  org.apache.commons.text.StringSubstitutor
md.getReturnType().getActualName() java.lang.String
[cve-2022-42899] class found!: class org.apache.commons.text.StringSubstitutor
(StringSubstitutor replace disabled)
[CVE 2022-42889] StringSubstitutorclass org.apache.commons.text.StringSubstitutor: (sanitized) PoC Output: %_script:javascript:195 + 324_
by arksec.cn

Способы подключения

Java-агент, загруженный удалённо через Attach API, не будет выполняться раньше метода main. Это зависит от момента вызова Attach API другой виртуальной машиной. Кроме того, он запускает метод agentmain, а не premain. Виртуальная машина Java не ограничивает количество Java-агентов. Вы можете указать несколько параметров -javaagent в команде java или удалённо подключить несколько Java-агентов. Виртуальная машина Java будет выполнять эти агенты по порядку их определения или подключения.

• premain
• Параметры запуска Java

-javaagent:/path/to/dir/CVE-2022-42889-Agent-1.0-SNAPSHOT-jar-with-dependencies.jar

• agentmain
• jps (внедрение PID)
• main-метод Attach (предварительно подключить tools.jar)