Text4Shell, geniş kullanımlı Apache Commons Text kütüphanesinde bulunan ve CVE-2022-42889 koduyla kayıtlı bir uzaktan kod çalıştırma zafiyetidir. Ekim 2022’de açıklandığında, adının çağrıştırdığı Log4Shell benzeri felaket senaryosu doğrulanmadı; çünkü zafiyetin tetiklenmesi için uygulamanın belirli ve nispeten seyrek kullanılan bir işlevi çağırması gerekir.

Text4Shell, Apache Commons Text’in değişken yorumlama motorunun script, dns ve url gibi tehlikeli önekleri varsayılan olarak çalıştırması nedeniyle ortaya çıkan bir kod enjeksiyonu kusurudur.

String Interpolasyonunun Karanlık Yüzü

Commons Text, metin içindeki ${…} biçimindeki ifadeleri çözümleyen bir StringSubstitutor sınıfı sunar. Bu motor, öneke göre farklı çözümleyiciler devreye sokar; örneğin ${date:…} bir tarih üretirken, güvenli sayılmayan ${script:…} öneki bir betik motorunu çalıştırır, ${url:…} bir ağ isteği yapar ve ${dns:…} bir alan adı sorgusu tetikler. Bir uygulama, kullanıcıdan gelen ham metni doğrudan bu yorumlayıcıya verdiğinde, saldırgan ${script:javascript:…} gibi bir ifadeyle sunucuda kendi JavaScript kodunu çalıştırabilir.

Neden Sınırlı Bir Tehdit?

Log4Shell’in aksine Text4Shell, kütüphanenin varsayılan günlükleme akışında otomatik olarak devreye girmez. Etkilenmek için geliştiricinin createInterpolator gibi bir yöntemle oluşturulan yorumlayıcıya güvenilmeyen girdi beslemesi gerekir; bu, çoğu uygulamada olmayan bir kullanım kalıbıdır. Bu nedenle gerçek dünyadaki sömürü yüzeyi dar kalmıştır. Yine de bir bağımlılığın gizli davranışının nasıl bir tedarik zinciri saldırısı riskine dönüşebileceğinin iyi bir örneğidir.

Tespit ve Önleme

Kesin çözüm Commons Text’i 1.10.0 veya üzeri sürüme yükseltmektir; bu sürümde tehlikeli önekler varsayılan yorumlayıcıdan çıkarılmıştır. Bu tür güncellemeleri zamanında uygulamak, sağlıklı bir yama yönetimi sürecinin doğal bir parçasıdır. Etkilenen sürümün ortamınızda nerelerde bulunduğunu görmek için ise bir yazılım bileşim analizi taraması, dolaylı bağımlılıklar dahil tüm kullanım noktalarını ortaya çıkarır.

Kod tarafında ek bir savunma, güvenilmeyen girdiyi asla ham haliyle bir yorumlayıcıya vermemek ve StringSubstitutor kullanılıyorsa yalnızca güvenli çözümleyicilerle sınırlı bir yapılandırma tercih etmektir. Girdi doğrulaması ve çıktı kaçışı, bu tür enjeksiyon sınıflarının büyük kısmını en baştan engeller.

Kurumsal Etki

Text4Shell’in etkisi dar olsa da, Java tabanlı bir mikroservis filosunda tek bir zafiyetli bileşenin nerede kullanıldığını bilmek zordur. Bu görünürlüğü kazanmak ve bağımlılık ağınızdaki riskli kütüphaneleri sistematik biçimde ayıklamak, düzenli bir altyapı ve mimari gözden geçirme ile mümkündür.