CVE-2016-3674
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Wiele podatności typu XML External Entity (XXE) w sterownikach Dom4JDriver, DomDriver, JDomDriver, JDom2Driver, SjsxpDriver, StandardStaxDriver i WstxDriver w XStream przed 1.4.9 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez spreparowany dokument XML.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera, takie jak konfiguracje czy dane uwierzytelniające, co może prowadzić do dalszej kompromitacji systemu.
Rekomendacja
Zaktualizuj XStream do wersji 1.4.9 lub nowszej. Jeśli aktualizacja nie jest możliwa, wyłącz przetwarzanie zewnętrznych encji XML w konfiguracji parsera.
Inne podatności w XStream
Zobacz wszystkie- CVE-2021-39152Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.
- CVE-2021-39140Średnie
Biblioteka XStream, służąca do serializacji obiektów do i z XML, w wersjach podatnych pozwala zdalnemu atakującemu wywołać 100% zużycie CPU na systemie docelowym poprzez manipulację przetwarzanym strumieniem wejściowym. Prowadzi to do ataku typu denial of service (odmowa usługi). Podatność nie dotyczy użytkowników, którzy skonfigurowali whitelistę ograniczoną do minimalnego wymaganego zestawu typów.
- CVE-2021-39154Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39153Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.
- CVE-2021-39151Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39149Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39148Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39147Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39146Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39145Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
Oryginalny opis (angielski, źródło NVD)
Multiple XML external entity (XXE) vulnerabilities in the (1) Dom4JDriver, (2) DomDriver, (3) JDomDriver, (4) JDom2Driver, (5) SjsxpDriver, (6) StandardStaxDriver, and (7) WstxDriver drivers in XStream before 1.4.9 allow remote attackers to read arbitrary files via a crafted XML document.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS