Apache commons-text和Configuration 命令执行CVE-2022-42889/CVE-2022-33980分析

原创

已于 2022-11-05 15:13:12 修改 · 2.4k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#apache #java #开发语言

于 2022-10-15 23:43:08 首次发布

Apache Commons Text是一款处理字符串和文本块的模块。
Apache Commons Text 在 1.10.0 之前的版本中由于插值默认值验证不当从而存在远程代码执行漏洞，CVE-2022-42889。

Apache Commons Configuration是一个Java应用程序的配置管理工具，可以从properties或者xml文件中加载软件的配置信息，用来构建支撑软件运行的基础环境。在一些配置文件较多较复杂的情况下，使用该配置工具比较可以简化配置文件的解析和管理，提高开发效率和软件的可维护性。漏洞版本范围：2.4 <= Apache Commons Configuration <=2.7

环境搭建

  <dependency>
      <groupId>org.apache.commons</groupId>
      <artifactId>commons-configuration2</artifactId>
      <version>2.7</version>
  </dependency>
  <dependency>
      <groupId>org.apache.commons</groupId>
      <artifactId>commons-text