Text4Shell-Exploit - Apache Commons Text 버전 < 1.10의 치명적인 원격 코드 실행 취약점(Text4Shell, CVE-2022-42889)에 대한 파이썬 기반의 맞춤형 Proof-Of-Concept(PoC) 익스플로이트
Text4Shell(CVE-2022-42889), Apache Commons Text의 치명적인 취약점에 대한 파이썬 기반 개념 증명 익스플로잇이 있습니다. 이 취약점은 인터폴레이션을 활성화한 Java 애플리케이션에서 StringSubstitutor 클래스를 사용하여 원격 코드 실행을 허용합니다. 취약한 매개변수 내부의 악의적인 표현식 주입을 통해 악용이 발생합니다. 일반적으로는 data 쿼리 매개변수를 통해 악용이 발생합니다. 이 익스플로잇은 ${script:...} 구문으로 임의의 시스템 명령을 실행합니다. 이 특정 PoC는 POST 요청을 통해 역방향 쉘 페이로드를 전송합니다. 대상 애플리케이션에 따라 페이로드 및 요청 경로를 조정해야 합니다. 이 익스플로잇은 교육 및 승인된 침투 테스트 용도로만 의도되며 Apache Commons Text 1.10.0 이전 버전에서 테스트되었습니다. 사용자는 주의를 기울이고 책임감 있게 사용해야 합니다.
data쿼리 매개변수를 통해 악용이 발생합니다. 이 익스플로잇은${script:...}구문으로 임의의 시스템 명령을 실행합니다. 이 특정 PoC는 POST 요청을 통해 역방향 쉘 페이로드를 전송합니다. 대상 애플리케이션에 따라 페이로드 및 요청 경로를 조정해야 합니다. 이 익스플로잇은 교육 및 승인된 침투 테스트 용도로만 의도되며 Apache Commons Text 1.10.0 이전 버전에서 테스트되었습니다. 사용자는 주의를 기울이고 책임감 있게 사용해야 합니다.