CVE-2022-42889 (Text4Shell) 报告

这是一个整理 Apache Commons Text CVE-2022-42889 分析报告以及基于封闭测试环境的攻击演示资料的仓库。

文档

• CVE-2022-42889 - 漏洞分析报告

仓库结构

CVE-2022-42889-Report/
├─ README.md
├─ report/
│  └─ CVE-2022-42889_Text4Shell_Report.md
└─ images/
   ├─ 01-docker-check.png
   ├─ 02-maven-download.png
   ├─ ...
   └─ 19-shell-success.png

摘要

• 影响版本: Apache Commons Text 1.5 ~ 1.9
• 主要条件: 通过 createInterpolator() 和 replace() 路径传递外部输入的情况
• 主要风险 lookup: script, dns, url
• 测试范围: 正常动作确认、基于文件生成的 RCE 验证、Shell 连接验证
• 从响应与防御角度的运营建议

参考资料

• SK Shieldus Insight Research
• Infosecwriteups
• CVE 信息确认