一、漏洞信息

漏洞描述

CVE编号：CVE-2022-42889

Apache Commons Text：该组件是一款处理字符串和文本块的开源项目，简单来说，除了核心Java提供的功能外，Apache Commons文本库还包含了许多有用的实用程序方法，用于处理字符串。通常在开发过程中用于占位符和动态获取属性的字符串编辑工具包，常用于数据库查询前的语句替换，或者页面输出时的替换。

Apache Commons Text执行变量插值，允许动态评估和扩展属性。插值的标准格式是“$｛prefix:name｝”，其中“prefix”用于查找org.apache.commons.text.loookup的实例，执行插值的StringLookup 。从1.5版开始一直到1.9版，默认Lookup实例集包括插值器，这些插值器可能导致任意代码执行或与远程服务器通信。这些查找是：-“script”-使用JVM脚本执行引擎（javax.script）执行表达式-“dns”-解析dns记录-“url”-从url加载值，如果使用不受信任的配置值，则受影响版本中使用插值默认值的应用程序，可能容易受到远程代码执行或与远程服务器无意接触的影响。建议用户升级到Apache Commons Text 1.10.0，默认情况下会禁用有问题的插值器。

影响范围

1.5 <= Apache Commons Text <= 1.9

修复建议

建议升级组件，获取官方版本地址如下：

https://commons.apache.org/proper/commons-text/download_text.cgi

安博通防护能力

对于该漏洞，安博通已经第一时间跟进，添加相应的IPS防护规则，为用户提供高效及时的安全防护。

IPS版本：20221017.uips及以上版本

规则编号：995174

防护效果

二、漏洞研究

漏洞复现

复现的代码如下：

package com.seanwrightsec.poc;

import org.apache.commons.text.StringSubstitutor;

import java.util.Scanner;

public class PoC {
    public final static String DEFAULT_POC_STRING = "${script:javascript:195 + 324}";

    public static void main(String[] args) {
        StringSubstitutor stringSubstitutor = StringSubstitutor.createInterpolator();
        System.out.println("Enter your exploit string (press Enter to use the default of '${script:javascript:195 + 324}'): ");
        Scanner in = new Scanner(System.in);
        String exploitString = in.nextLine();
        if (exploitString.equals("")) {
            exploitString = DEFAULT_POC_STRING;
        }
        String output = stringSubstitutor.replace(exploitString);
        System.out.println("=====");
        System.out.printf("Exploiting PoC with the exploit string '%s'%n", exploitString);
        System.out.println("=====");
        System.out.println("PoC Output:");
        System.out.println("-----");
        System.out.println(output);
        System.out.println("=====");
    }
}

构造语句：${dns:address|www.google.com}，实现了对Google的dns地址查询命令并成功返回，可见远程代码执行漏洞确实存在。

代码研究

下面从代码运行的视角来分析漏洞产生的原因。

先从StringSubstitutor.replace方法中跟入。

调用substitute解析传入的字符串。

跟进resolveVariable 。

这里获取的StringLookup，就是之前使用StringSubstitutor.createInterpolator()创建实例化对象的地方。

并在构造方法中调用了this.setVariableResolver(variableResolver)，设置VariableResolver为InterpolatorStringLookup类。

继续跟入InterpolatorStringLookup的lookup方法中。

构造的JavaScript字符串被传入到lookup方法中。

而ScriptStringLookup类调用了lookup方法。

ScriptStringLookup类中的scriptEngine.eval函数获取到了传入的构造语句，直接执行。

关于这个引擎的介绍和使用可以参考这个链接：

https://www.qieseo.com/329754.html

Nashorn扩展可以使JVM在运行时动态调用JavaScript脚本，大大提升了开发时的灵活机动性，也正因此导致了Apache Commons Text远程代码执行漏洞。

原因分析

该漏洞存在于StringSubstitutor插值器对象中。插值器由StringSubstitutor.createInterpolator()方法创建，并允许StringLookupFactory中定义的字符串查找。这可以通过传递字符串“${prefix:name}”来使用，其中前缀如下：

使用“script”、“dns”或“url”查找，将允许字符串在传递给插值器对象时，执行任意脚本。

由于Commons Text是一个库，因此插值器的具体用法将决定此漏洞的影响程度。

虽然此特定代码片段不太可能存在于生产应用程序中，但令人担忧的是，在某些应用程序中，pocstring变量可能被攻击者控制。从这个意义上说，该漏洞与Log4Shell相呼应。但是，与Log4j中易受攻击的字符串替换相比，StringSubstitutor插值器的使用范围要小得多。并且这种插值器的性质意味着，将内容输入到易受攻击的对象中的可能性，比仅与Log4Shell中的此类字符串交互的可能性要小。

PoC/Exp

POC :https://github.com/SeanWrightSec/CVE-2022-42889-PoC