Apache Commons Text에서 발생하는 취약점(CVE-2022-42889)이 확인되어 안내드립니다.

상세 내용

• CVE 식별자
  • CVE-2022-42889
    
    
• 취약점 이름
  • Apache Commons Text에서 발생하는 원격 코드 실행 취약점
    
    
• 취약점 등급
  • Critical
    
    
• 취약점 설명
  • Apache Commons Text는 변수 보간을 수행하여 속성을 동적으로 평가 및 확장할 수 있음
  • 보간을 위한 표준 형식은 "${prefix:name}"이며, prefix는 org.apache.commons.text.lookup의 인스턴스를 찾는데 사용됨
  • 취약 버전은 기본 lookup에서 원격 코드 실행이 가능한 보간기가 포함되어 있음
    
    
• POC 상태
  • 공개
    
    
• 영향받는 시스템
  • Apache Commons Text 라이브러리 1.5 ~ 1.9 버전
    
    

해결 방법

• Commons Text 1.10 버전 이상으로 업데이트
  • https://commons.apache.org/proper/commons-text/download_text.cgi

참고 사이트

• [1] https://www.rapid7.com/blog/post/2022/10/17/cve-2022-42889-keep-calm-and-stop-saying-4shell/
• [2] https://nvd.nist.gov/vuln/detail/CVE-2022-42889