CVE-2021-39149
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
Ocena ryzyka
Ryzyko dla organizacji to zdalne wykonanie dowolnego kodu, co może prowadzić do pełnego przejęcia systemu lub naruszenia danych. Atak może być przeprowadzony bez uwierzytelnienia, jeśli aplikacja przetwarza niezaufane dane XML.
Rekomendacja
Zaleca się natychmiastową aktualizację XStream do wersji 1.4.18 lub nowszej oraz skonfigurowanie frameworka bezpieczeństwa z białą listą typów. Należy również ograniczyć przetwarzanie niezaufanych danych wejściowych.
Inne podatności w XStream
Zobacz wszystkie- CVE-2021-39152Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.
- CVE-2021-39154Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39153Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.
- CVE-2021-39151Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39148Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39147Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39146Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.
- CVE-2021-39145Wysokie
XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.
- CVE-2021-39144WysokieAktywnie exploitowane
XStream to biblioteka do serializacji obiektów do XML i z powrotem. W dotkniętych wersjach podatność może pozwolić zdalnemu atakującemu z wystarczającymi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy zastosowali się do zaleceń dotyczących skonfigurowania frameworka bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych celów.
- CVE-2021-39141Wysokie
Podatność w XStream w dotkniętych wersjach umożliwia zdalnemu atakującemu załadowanie i wykonanie dowolnego kodu z zdalnego hosta, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.
Oryginalny opis (angielski, źródło NVD)
XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker to load and execute arbitrary code from a remote host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS