Picus Security analyserar kritisk Apache Commons Text-sårbarhet

Cybersäkerhetsföretaget Picus Security har presenterat en detaljerad analys av den kritiska sårbarheten i Apache Commons Text-biblioteket, känd som CVE-2022-42889. Sårbarheten har en hög CVSS-poäng på 9.8 och tillåter oautentiserade angripare att exekvera godtyckliga kommandon i system som använder biblioteket.

I osäkra implementeringar uppstår sårbarheten när biblioteket hanterar opålitliga indata som DNS-förfrågningar eller URL:er. Enligt Picus Security är versionerna 1.5 till 1.9 av Apache Commons Text mottagliga för denna sårbarhet, och dess exploatering beror också på vilken version av Java Development Kit (JDK) som används. Sårbarhetens påverkan har jämförts med Log4Shell, men svårighetsgraden för att utnyttja den har bedömts vara liknande den för Spring4Shell.

Picus Security rekommenderar att omedelbart uppdatera Apache Commons Text-biblioteket till version 1.10.0. Eftersom detta är en sårbarhet på biblioteksnivå är det viktigt för organisationer att uppdatera alla beroende produkter och tjänster så snart leverantörerna släpper korrigeringar. Under tiden kan noggrann sanering av externa indata förhindra potentiellt riskfyllda situationer.

Företaget erbjuder också, genom sin plattform, möjligheten att simulera CVE-2022-42889-attacker som en del av testningen av säkerhetskontroller. Detta hjälper organisationer att utvärdera effektiviteten av sina skyddsmekanismer och identifiera eventuella brister i sin cybersäkerhet.