Text4Shell-Exploit - Ein benutzerdefinierter Python-basierter Proof-Of-Concept-(PoC)-Exploit, der Text4Shell (CVE-2022-42889) anvisiert, eine kritische Remote-Code-Ausführungs-Schwachstelle in Apache Commons Text-Versionen < 1.10
Ein Python-basiertes Proof-of-Concept-Exploit existiert für Text4Shell (CVE-2022-42889), eine kritische Schwachstelle in Apache Commons Text. Diese Schwachstelle ermöglicht die Remote-Ausführung von Code in Java-Anwendungen, die die Klasse StringSubstitutor mit aktivierter Interpolation verwenden. Die Ausnutzung erfolgt durch die Einschleusung böswilliger Ausdrücke innerhalb des anfälligen Parameters, oft über den data-Abfrageparameter. Das Exploit nutzt die ${script:...}-Syntax, um beliebige Systembefehle auszuführen. Dieses spezifische PoC verwendet eine Reverse-Shell-Nutzlast, die über eine POST-Anfrage gesendet wird. Benutzer müssen die Nutzlast und den Anfragepfad an die Zielanwendung anpassen. Das Exploit ist nur für Bildungszwecke und autorisierte Penetrationstests gedacht. Es wurde gegen Apache Commons Text-Versionen vor 1.10.0 getestet. Benutzer sollten Vorsicht walten lassen und es verantwortungsvoll verwenden.
data-Abfrageparameter. Das Exploit nutzt die${script:...}-Syntax, um beliebige Systembefehle auszuführen. Dieses spezifische PoC verwendet eine Reverse-Shell-Nutzlast, die über eine POST-Anfrage gesendet wird. Benutzer müssen die Nutzlast und den Anfragepfad an die Zielanwendung anpassen. Das Exploit ist nur für Bildungszwecke und autorisierte Penetrationstests gedacht. Es wurde gegen Apache Commons Text-Versionen vor 1.10.0 getestet. Benutzer sollten Vorsicht walten lassen und es verantwortungsvoll verwenden.