XStream < 1.4.18 反序列化遠程代碼執行漏洞（CVE-2021-39139等）

威脅預警 2021年8月23日 21:01 1666

2021年8月23日，武漢雲之巅應急響應中心監測到 XStream 官方發(fā)布安全公告，披露多個反序列化遠程代碼執行漏洞（CVE-2021-39139 等）。

漏洞描述

XStream是一個常用的Java對(duì)象和XML相互轉換的工具。2021年8月23日 XStream官方發(fā)布安全更新，修複了多個XStream 反序列化漏洞。攻擊者通過(guò)構造惡意的XML文檔，可繞過(guò)XStream的黑名單，觸發(fā)反序列化，從而造成(chéng) 反序列化代碼執行漏洞（CVE-2021-39139等）等。實際漏洞利用依賴于具體代碼實現以及相關接口請求，無法批量遠程利用。武漢雲之巅應急響應中心提醒 XStream 用戶盡快采取安全措施阻止漏洞攻擊。

漏洞細節：公開(kāi)

漏洞POC：已知

漏洞EXP：已知

在野利用：未知

漏洞評級

CVE-2021-39139 任意代碼執行高危

CVE-2021-39140 拒絕服務高危

CVE-2021-39141 任意代碼執行高危

CVE-2021-39144 任意代碼執行高危

CVE-2021-39145 任意代碼執行高危

CVE-2021-39146 任意代碼執行高危

CVE-2021-39147 任意代碼執行高危

CVE-2021-39148 任意代碼執行高危

CVE-2021-39149 任意代碼執行高危

CVE-2021-39150 SSRF漏洞中危

CVE-2021-39151 任意代碼執行高危

CVE-2021-39152 SSRF漏洞中危

CVE-2021-39153 任意代碼執行高危

CVE-2021-39154 任意代碼執行高危

影響版本

XStream < 1.4.18

安全版本

XStream 1.4.18

安全建議

針對(duì)使用到XStream組件的web服務升級至最新版本：http://x-stream.github.io/changes.html

相關鏈接

https://x-stream.github.io/security.html#workaround

XStream < 1.4.18 反序列化遠程代碼執行漏洞（CVE-2021-39139等）

相關新聞