远程 Scientific Linux 7 主机上安装的程序包受到 SLSA-2021: 3956-1 公告。

  - xstream：通过 Xalan xsltc.trax.TemplatesImpl 的不安全反序列化造成的任意代码执行（CVE-2021-39139、CVE-2021-39153）

  - xstream：通过 com.sun.xml.internal.ws.client.sei.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39141)

  - xstream：通过 sun.tracing.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39144)

  - xstream：通过 com.sun.jndi.ldap.LdapBindingEnumeration 的不安全反序列化造成的任意代码执行（CVE-2021-39145、CVE-2021-39151）

  - xstream：通过 javax.swing.UIDefaults$ProxyLazyValue 的不安全反序列化造成的任意代码执行（CVE-2021-39146、CVE-2021-39154）

  - xstream：通过 com.sun.jndi.ldap.LdapSearchEnumeration 的不安全反序列化造成的任意代码执行 (CVE-2021-39147)

  - xstream：通过 com.sun.jndi.toolkit.dir.ContextEnumerator 的不安全反序列化造成的任意代码执行 (CVE-2021-39148)

  - xstream：通过 com.sun.corba.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39149)

  - xstream：通过 com.sun.xml.internal.ws.client.sei.* 的不安全反序列化造成的服务器端请求伪造 (SSRF) (CVE-2021-39150)

  - xstream：通过 jdk.nashorn.internal.runtime.Source$URLData 的不安全反序列化造成的服务器端请求伪造 (SSRF) (CVE-2021-39152)

  - xstream：通过 sun.reflect.annotation.AnnotationInvocationHandler 的不安全反序列化造成的无限循环 DoS (CVE-2021-39140)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Scientific Linux 安全更新：SL7.x (noarch) 上的 xstream (2021:3956)

high Nessus 插件 ID 154412

版本 1.3