PT-2022-5052 · Apache+3 · Apache Commons Text+3
Gary D. Gregory
·
Publicado
2022-10-13
·
Atualizado
2026-04-01
·
CVE-2022-42889
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Apache Commons Text, versões 1.5 a 1.9
Descrição
O problema diz respeito a uma vulnerabilidade no Apache Commons Text que permite a interpolação de variáveis, possibilitando que propriedades sejam avaliadas e expandidas dinamicamente. O formato padrão para interpolação é “${prefix:name}”, onde “prefix” é usado para localizar uma instância de org.apache.commons.text.lookup.StringLookup que realiza a interpolação. A partir da versão 1.5 e até a 1.9, o conjunto de instâncias padrão do Lookup incluía interpoladores que poderiam resultar na execução de código arbitrário ou no contato com servidores remotos. Essas pesquisas são: - “script” - executa expressões usando o mecanismo de execução de scripts da JVM (javax.script) - ‘dns’ - resolve registros DNS - “url” - carrega valores de URLs, incluindo de servidores remotos. Aplicativos que utilizam os padrões de interpolação nas versões afetadas podem estar vulneráveis à execução remota de código ou ao contato não intencional com servidores remotos caso sejam utilizados valores de configuração não confiáveis. Pesquisadores detectaram tentativas ativas de exploração visando essa vulnerabilidade.
Recomendações
Para resolver o problema, recomenda-se que os usuários atualizem para o Apache Commons Text 1.10.0, que desativa os interpoladores problemáticos por padrão. Como solução alternativa temporária, considere desativar as instâncias vulneráveis de
StringLookup, como “script”, ‘dns’ e “url”, para minimizar o risco de exploração. Restrinja o acesso ao vulnerávelExploit
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Commons Text
Debian
Red Os
Rocky Linux