CVE-2021-29505
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność w XStream przed wersją 1.4.17 umożliwia zdalnemu atakującemu z odpowiednimi uprawnieniami wykonanie poleceń na hoście, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu i naruszenia poufności danych.
Rekomendacja
Zaktualizuj XStream do wersji 1.4.17 lub nowszej, aby naprawić podatność. Upewnij się, że framework bezpieczeństwa jest skonfigurowany z białą listą.
Inne podatności w XStream
Zobacz wszystkie- CVE-2021-39152Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.
- CVE-2021-39154Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39153Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.
- CVE-2021-39151Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39149Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39148Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39147Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39146Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39145Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39144WysokieAktywnie exploitowane
XStream to biblioteka do serializacji obiektów do XML i z powrotem. W dotkniętych wersjach podatność może pozwolić zdalnemu atakującemu z wystarczającymi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy zastosowali się do zaleceń dotyczących skonfigurowania frameworka bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych celów.
Oryginalny opis (angielski, źródło NVD)
XStream is software for serializing Java objects to XML and back again. A vulnerability in XStream versions prior to 1.4.17 may allow a remote attacker has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types is affected. The vulnerability is patched in version 1.4.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS