Picus Security analyse une vulnérabilité critique d'Apache Commons Text

La société de cybersécurité Picus Security a fourni une analyse détaillée d'une vulnérabilité critique découverte dans la bibliothèque Apache Commons Text, identifiée sous le nom de CVE-2022-42889. Cette vulnérabilité présente un score CVSS élevé de 9.8 et permet à des attaquants non authentifiés d'exécuter des commandes arbitraires sur les systèmes utilisant la bibliothèque.

Dans les implémentations non sécurisées, la vulnérabilité survient lorsque la bibliothèque traite des entrées non fiables, telles que des requêtes DNS ou des URL. Selon Picus Security, les versions 1.5 à 1.9 d'Apache Commons Text sont affectées, et son exploitation dépend également de la version du Java Development Kit (JDK) utilisée. L'impact de la vulnérabilité a été comparé à Log4Shell, bien que sa facilité d'exploitation soit jugée similaire à celle de Spring4Shell.

Picus Security recommande une mise à jour immédiate de la bibliothèque Apache Commons Text vers la version 1.10.0. Comme il s'agit d'une vulnérabilité au niveau de la bibliothèque, il est crucial pour les organisations de mettre à jour tous les produits et services dépendants dès que les fournisseurs publient des correctifs. En attendant, un assainissement approprié des entrées externes peut prévenir des situations potentiellement risquées.

L'entreprise propose également, via sa plateforme, la capacité de simuler des exploits CVE-2022-42889 dans le cadre de tests de contrôle de sécurité, aidant ainsi les organisations à évaluer l'efficacité de leurs défenses et à identifier les lacunes potentielles en matière de cybersécurité.