CVE-2021-39141
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Podatność w XStream w dotkniętych wersjach umożliwia zdalnemu atakującemu załadowanie i wykonanie dowolnego kodu z zdalnego hosta, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnej kompromitacji systemu i naruszenia integralności danych.
Rekomendacja
Zaktualizuj XStream do wersji 1.4.18 lub nowszej, która nie używa domyślnej czarnej listy. Skonfiguruj framework bezpieczeństwa z białą listą ograniczoną do minimalnych wymaganych typów.
Inne podatności w XStream
Zobacz wszystkie- CVE-2021-39152Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.
- CVE-2021-39154Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39153Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.
- CVE-2021-39151Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39149Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39148Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39147Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39146Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39145Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39144WysokieAktywnie exploitowane
XStream to biblioteka do serializacji obiektów do XML i z powrotem. W dotkniętych wersjach podatność może pozwolić zdalnemu atakującemu z wystarczającymi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy zastosowali się do zaleceń dotyczących skonfigurowania frameworka bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych celów.
Oryginalny opis (angielski, źródło NVD)
XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker to load and execute arbitrary code from a remote host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS