Apache开源库曝高危漏洞，可远程代码执行并拿到 Shell 连接

在最近的网络安全研究中，知名开源软件wordpress所属公司检测针对Apache Commons Text中新披露的漏洞的利用尝试。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，该漏洞的漏洞号为 CVE-2022-42889（Text4Shell），在 CVSS 等级上的严重性评分为 9.8（满分为10），并影响该库的 1.5 至 1.9 版本。

该漏洞类似于臭名昭著的 Log4Shell 漏洞，因为该漏洞的根源在于在DNS、脚本和 URL 查找期间执行的字符串替换方式可能导致在传递不受信任的输入时在易受攻击的系统上执行任意代码。

安全研究人员表示，攻击者可以使用脚本、dns和url查找远程发送精心设计的有效攻击载荷，以实现任意远程代码执行。

成功利用该漏洞可以使攻击者仅通过特制的有效负载打开与易受攻击的应用程序的反向 shell 连接，从而有效地为后续攻击打开大门。

虽然该漏洞最初是在 2022 年 3 月上旬报告的，但 Apache 软件基金会于 9 月 24 日发布了该软件的更新版本(1.10.0)，随后在上周的 10 月 13 日才发布了公告。

与 Log4Shell 漏洞中的 Log4j 不同的是，并不是这个库的所有用户都会受到这个漏洞的影响，Log4Shell 即使在最基本的用例中也很容易受到攻击，只有以某种方式使用 Apache Commons Text 来暴露攻击面时该漏洞才能被利用。

wordpress安全团队表示，与 Log4j 相比，成功利用的可能性在范围上非常有限，迄今为止观察到的大多数有效载荷都旨在扫描易受攻击的安装。

建议直接依赖 Apache Commons Text 的用户升级到固定版本以降低潜在威胁。Apache Commons Text 漏洞还遵循 2022 年 7 月在 Apache Commons Configuration 中披露的另一个严重安全漏洞（CVE-2022-33980，CVSS评分：9.8），这可能导致通过变量插值功能执行任意代码。