Debian DLA-2507-1：libxstream-java 安全更新

high Nessus 插件 ID 144681

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在用于将对象序列化为 XML 和反序列化的 Java 库 XStream 中发现多个安全漏洞。

CVE-2020-26258

XStream 可在解组时激活服务器端伪造请求漏洞。远程攻击者可利用此漏洞，通过操纵已处理的输入流，从不公开的内部资源请求数据。

CVE-2020-26259

本地主机在解组时，XStream 容易受到任意文件删除的影响。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可利用此漏洞删除主机上作为日志的任意已知文件。

对于 Debian 9 Stretch，已在版本 1.4.11.1-1+deb9u1 中修复这些问题。

建议您升级 libxstream-java 程序包。

如需了解 libxstream-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。