Picus Security analysoi Apache Commons Textin kriittisen haavoittuvuuden

Kyberturvallisuusyritys Picus Security on tuonut esiin yksityiskohtaisen analyysin Apache Commons Text -kirjaston kriittisestä haavoittuvuudesta, joka tunnetaan nimellä CVE-2022-42889. Haavoittuvuudella on korkea CVSS-pistemäärä 9.8 ja se mahdollistaa luvattomien hyökkääjien suorittaa mielivaltaisia komentoja järjestelmissä, jotka käyttävät kyseistä kirjastoa.

Avoimissa toteutuksissa haavoittuvuus syntyy, kun kirjasto käsittelee epäluotettavia syötteitä, kuten DNS-pyyntöjä tai URL-osoitteita. Picus Securityn mukaan Apache Commons Textin versiot 1.5–1.9 ovat alttiita tälle haavoittuvuudelle, ja sen hyödyntäminen riippuu myös käytetystä Java Development Kit (JDK) -versiosta. Haavoittuvuuden vaikutusta on verrattu Log4Shelliin, mutta sen hyödyntämisen vaikeusaste on arvioitu samankaltaiseksi kuin Spring4Shellin.

Picus Security suosittelee päivittämään Apache Commons Text -kirjaston versioon 1.10.0 välittömästi. Koska kyseessä on kirjastotason haavoittuvuus, organisaatioiden on tärkeää päivittää kaikki niistä riippuvaiset tuotteet ja palvelut heti, kun valmistajat julkaisevat korjauksia. Sillä välin ulkoisten syötteiden huolellinen sanitointi estää riskialttiiden tilanteiden syntymistä.

Yritys tarjoaa myös alustansa avulla mahdollisuuden simuloida CVE-2022-42889 -hyökkäyksiä osana turvallisuuskontrollien testausta. Tämä auttaa organisaatioita arvioimaan puolustusmekanismiensa tehokkuutta ja tunnistamaan mahdolliset puutteet kyberturvallisuudessaan.