Podatności XStream

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.

Biblioteka XStream, służąca do serializacji obiektów do i z XML, w wersjach podatnych pozwala zdalnemu atakującemu wywołać 100% zużycie CPU na systemie docelowym poprzez manipulację przetwarzanym strumieniem wejściowym. Prowadzi to do ataku typu denial of service (odmowa usługi). Podatność nie dotyczy użytkowników, którzy skonfigurowali whitelistę ograniczoną do minimalnego wymaganego zestawu typów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

Podatność w XStream w dotkniętych wersjach umożliwia zdalnemu atakującemu załadowanie i wykonanie dowolnego kodu z zdalnego hosta, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownik jest dotknięty tylko wtedy, gdy używa wersji z JDK 1.7u21 lub niższej, ale scenariusz może być dostosowany do zewnętrznego Xalana działającego niezależnie od wersji Java. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.

Podatność w XStream przed wersją 1.4.17 umożliwia zdalnemu atakującemu z odpowiednimi uprawnieniami wykonanie poleceń na hoście, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na żądanie danych z zasobów wewnętrznych, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na zajęcie wątku, który zużywa maksymalny czas procesora i nigdy nie kończy pracy. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu z odpowiednimi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów w ramach mechanizmu bezpieczeństwa XStream.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 zawiera podatność, w której przetwarzany strumień podczas deserializacji zawiera informacje o typach pozwalające odtworzyć wcześniej zapisane obiekty. Atakujący może manipulować strumieniem wejściowym i zastępować lub wstrzykiwać obiekty, co prowadzi do usunięcia pliku na hoście lokalnym.

Biblioteka XStream przed wersją 1.4.16 zawiera podatność, w której przetwarzany strumień podczas deserializacji zawiera informacje o typach pozwalające odtworzyć wcześniej zapisane obiekty. Atakujący może manipulować strumieniem wejściowym i zastępować lub wstrzykiwać obiekty, co prowadzi do podrobienia żądania po stronie serwera (SSRF).

Podatność w XStream przed wersją 1.4.16 umożliwia atakującemu spowodowanie alokacji 100% czasu CPU na systemie docelowym, co prowadzi do odmowy usługi. Dotyczy użytkowników polegających na domyślnej czarnej liście Security Framework.

XStream przed wersją 1.4.15 jest podatny na usunięcie dowolnych plików na hoście lokalnym podczas unmarshalling. Zdalny atakujący może usunąć znane pliki, jeśli proces ma wystarczające uprawnienia, manipulując przetwarzanym strumieniem wejściowym.

XStream przed wersją 1.4.15 zawiera podatność Server-Side Request Forgery (SSRF) aktywowaną podczas unmarshalling. Zdalny atakujący może żądać danych z wewnętrznych zasobów niedostępnych publicznie, manipulując przetwarzanym strumieniem wejściowym.

Podatność w XStream przed wersją 1.4.14 umożliwia zdalne wykonanie kodu. Atakujący może uruchomić dowolne polecenia powłoki, manipulując przetwarzanym strumieniem wejściowym. Dotyczy tylko użytkowników polegających na listach blokowanych.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym z Java runtime 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście, musisz użyć co najmniej wersji 1.4.18.