当前位置:维易网 > 办公设备 > 办公软件 > 正文

云安全日报210823:XStream Java序列化库发现执行任

最后更新时间:2022-01-14 19:49:51

XStream是一个常用的Java对象和XML相互转换的工具。8月23日 XStream官方发布安全更新,修复了多个XStream Java序列化库中发现的执行任意代码等重要漏洞。以下是漏洞详情:

漏洞详情

来源: https://x-stream.github.io/security.html?spm=a2c4g.11174386.n2.4.46ea4c07mtuihO#workaround

1.CVE-2021-39139 严重程度: 重要

XStream 容易受到任意代码执行攻击。解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象,从而执行从远程服务器加载的任意代码。

2.CVE-2021-39140 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象,这会导致无限循环,可能导致拒绝服务。

3.CVE-2021-39141 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象,从而执行从远程服务器加载的任意代码。

4.CVE-2021-39144 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象,从而在服务器上执行本地命令。

5.CVE-2021-39150 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理后的输入流并替换或注入对象,从而导致服务器端伪造请求。

受影响的产品和版本

XStream 1.4.17及更早版本

解决方案

XStream官方已发布安全更新,升级XStream 1.4.18版本可修复

查看更多漏洞信息 以及升级请访问官网:

https://x-stream.github.io/security.html?spm=a2c4g.11174386.n2.4.54c11051CEr2c6#workaround

心情模块加载中...

温馨提示:本网使用的部分文字和图片来源于互联网,若有版权问题,请与我们联系!

我有问题要问问...

维易问答平台专注于电脑相关问题的在线及时解答,您可以在此提问以获得最佳答案!
关于我们 | 申请入驻 | 广告合作 | 友情链接 | 免责声明 | 投诉建议 | 联系我们 | 网站地图 | Copyright © 2013-2021 维易网 粤ICP备16021840号
客服 联系站长