Vulnerabilidad Crítica para Apache Commons Text – Text4Shell
Una nueva vulnerabilidad en la biblioteca Apache Commons Text indica que los atacantes pueden realizar la ejecución remota de código (RCE). Muchos ya se apresuraron en comprar esta vulnerabilidad con la vulnerabilidad muy conocida de día cero Log4Shell, que surgió a fines del año pasado y fue ampliamente explotada por los atacantes. Sin embargo, es demasiado pronto para decir si esta nueva vulnerabilidad tiene el mismo gran impacto en los entornos de producción y si los atacantes pueden explotarla con la misma facilidad.
PARA ENTENDER MEJOR
Apache Commons Text es una biblioteca enfocada en algoritmos que trabajan en cadenas. El 13 de octubre de 2022 se publicó una nueva vulnerabilidad, CVE-2022-42889, que puede conducir a la ejecución remota de código (RCE).
Álvaro Muñoz, un investigador de seguridad que inicialmente informó sobre esta vulnerabilidad, descubrió que los interpoladores predeterminados de la biblioteca (o específicamente la clase StringSubstitutor) pueden conducir a una evaluación de secuencias de comandos insegura y pueden resultar en la ejecución de código al procesar entradas maliciosas. En resumen, el uso de la biblioteca con sus configuraciones predeterminadas junto con la entrada maliciosa correcta puede provocar la ejecución de código malicioso no deseado.
PoC Y UNA HERRAMIENTA DE DETECCIÓN PERO SIN EXPLOTACIÓN EN ESTADO SALVAJE
Se han lanzado una variedad de exploits PoC para CVE-2022-42889, que informalmente se ha denominado “Act4Shell” y “Text4Shell”.
Los investigadores de JFrog también publicaron una herramienta que los desarrolladores pueden usar para verificar si sus aplicaciones contienen una versión vulnerable de la biblioteca o funciones vulnerables.
“Log4J es una biblioteca de Java ampliamente utilizada y cualquier servidor web que ejecute la versión vulnerable podría haber sido fácilmente explotado, mientras que la biblioteca de Common Text no es tan frecuente”, dice Christopher Budd, gerente sénior de Sophos Threat Research.
“Además, Log4J se puede explotar con un código genérico, mientras que esta nueva vulnerabilidad probablemente requiera un código específico y dirigido. Finalmente, la mayoría de las aplicaciones no pasarán valores proporcionados por el usuario sin desinfectar a las funciones vulnerables de la biblioteca, lo que reduce o anula los riesgos de explotación. Actualmente, Sophos X-Ops no está viendo los ataques que explotan CVE-2022-42889 en estado salvaje, pero continuará monitoreando”.
El siguiente fragmento de código demuestra la prueba de concepto de la vulnerabilidad en commons-text (v1.9). La prueba de concepto muestra la ejecución del comando a través de una carga útil diseñada que da como resultado la creación de un directorio llamado ThreatLabZ en el directorio /home.
Posibles ejecuciones:
- ${script:js:java.lang.Runtime.getRuntime().exec(“mkdir /home/ThreatLabZ”)}
- ${script:js:java.lang.Runtime.getRuntime().exec(“cat /etc/passwd”)}
- ${url:URL}
- ${env:PATH}
- ${dns:D_name}
RECOMENDACIONES DE MITIGACIÓN
Si está utilizando una versión vulnerable de Apache Commons Text (1.5-19), actualice la biblioteca a la versión parcheada (1.10) lo antes posible.
Para detectar esta vulnerabilidad en su entorno, puede conectar su repositorio a la plataforma de seguridad nativa de Aqua Cloud, que mapea automáticamente sus dependencias e identifica todas las dependencias vulnerables que utilizan sus proyectos.
También puedes identificar y bloquear todas las cargas de trabajo que tengan CVE-2022-42889 e incluso evitar su ejecución mediante políticas de aseguramiento. Además, si incluye Aqua Scanner como parte de su proceso de CI/CD, identificará y bloqueará automáticamente cualquier compilación nueva que tenga la vulnerabilidad Text4Shell, desplazando la seguridad hacia la izquierda.
