在用于将对象序列化为 XML 和反序列化的 Java 库 XStream 中发现多个安全漏洞。

CVE-2020-26258

XStream 可在解组时激活服务器端伪造请求漏洞。远程攻击者可利用此漏洞，通过操纵已处理的输入流，从不公开的内部资源请求数据。

CVE-2020-26259

本地主机在解组时，XStream 容易受到任意文件删除的影响。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可利用此漏洞删除主机上作为日志的任意已知文件。

对于 Debian 9 Stretch，已在版本 1.4.11.1-1+deb9u1 中修复这些问题。

建议您升级 libxstream-java 程序包。

如需了解 libxstream-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

远程 18.04 LTS / 20.04 LTS 主机上安装的程序包受到 USN-4714-1 公告中提及的多个漏洞的影响。

  - 版本 1.4.14 之前的 XStream 容易受到远程代码执行漏洞的影响。此漏洞可能允许远程攻击者仅通过操纵处理过的输入流来运行任意 shell 命令。只有依赖阻止列表的用户受到影响。使用 XStream 的 Security Framework 允许列表的任何用户均不受影响。链接公告为无法升级的用户提供代码变通方案。此问题已在  1.4.14 版本中修复。(CVE-2020-26217)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，可在解组时激活服务器端伪造请求漏洞。远程攻击者可利用此漏洞，通过操纵已处理的输入流，从不公开的内部资源请求数据。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26258)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，本地主机在解组时，容易受到任意文件删除的影响。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可利用此漏洞删除主机上作为日志的任意已知文件。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26259)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

Liaogui Zhong 在 XStream（用于将对象序列化为 XML 和反序列化的库）中发现两个安全问题，这些问题可在解组时导致文件删除或服务器端请求伪造。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4943-1 公告中提及的多个漏洞的影响。

  - 版本 1.4.14 之前的 XStream 容易受到远程代码执行漏洞的影响。此漏洞可能允许远程攻击者仅通过操纵处理过的输入流来运行任意 shell 命令。只有依赖阻止列表的用户受到影响。使用 XStream 的 Security Framework 允许列表的任何用户均不受影响。链接公告为无法升级的用户提供代码变通方案。此问题已在  1.4.14 版本中修复。(CVE-2020-26217)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，可在解组时激活服务器端伪造请求漏洞。远程攻击者可利用此漏洞，通过操纵已处理的输入流，从不公开的内部资源请求数据。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26258)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，本地主机在解组时，容易受到任意文件删除的影响。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可利用此漏洞删除主机上作为日志的任意已知文件。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26259)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21341)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而导致服务器端伪造请求。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21342)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而删除本地主机上的文件。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21343)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许权限充足的远程攻击者仅通过操纵处理过的输入流便可执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21345)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，允许远程攻击者占用消耗最大 CPU 时间且永远不会返回的线程。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21348)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 版本中有一个漏洞，远程攻击者可利用此漏洞，仅通过操纵已处理的输入流，从非公开可获取的内部资源请求数据。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21349)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21350)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前版本中有一个漏洞，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21351)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 14.04 LTS / 16.04 LTS 主机上安装的程序包受到 USN-6978-1 公告中提及的多个漏洞的影响。

    发现 XStream 未正确处理对某些特制 XML 文档的解析。远程攻击者可能利用此问题读取任意文件。(CVE-2016-3674)

    Zhihong Tian 和 Hui Lu 发现 XStream 容易受到远程代码执行漏洞的影响。远程攻击者可能通过操纵处理过的输入流来运行任意 shell 命令。(CVE-2020-26217)

    发现 XStream 容易遭受服务器端伪造攻击。远程攻击者可能通过操纵已处理的输入流，从不公开的内部资源请求数据。(CVE-2020-26258)

    发现 XStream 容易在本地主机上遭受任意文件删除。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可能利用此漏洞删除主机上的任意已知文件。(CVE-2020-26259)

    发现 XStream 容易遭受拒绝服务、任意代码执行、任意文件删除和服务器端伪造攻击。远程攻击者可通过操控已处理的输入流，造成上述任何问题。（CVE-2021-21341、CVE-2021-21342、CVE-2021-21343、CVE-2021-21344、CVE-2021-21345、CVE-2021-21346、CVE-2021-21347、CVE-2021-21348、CVE-2021-21349、CVE-2021-21350、CVE-2021-21351）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
144681	Debian DLA-2507-1：libxstream-java 安全更新	Nessus	Debian Local Security Checks	2021/1/4	2024/1/31	high
145542	Ubuntu 18.04 LTS / 20.04 LTS：XStream 漏洞 (USN-4714-1)	Nessus	Ubuntu Local Security Checks	2021/1/29	2024/8/27	high
144818	Debian DSA-4828-1：libxstream-java - 安全更新	Nessus	Debian Local Security Checks	2021/1/11	2024/1/30	high
149408	Ubuntu 18.04 LTS / 20.04 LTS：XStream 漏洞 (USN-4943-1)	Nessus	Ubuntu Local Security Checks	2021/5/12	2024/8/27	critical
206123	Ubuntu 14.04 LTS / 16.04 LTS：XStream 漏洞 (USN-6978-1)	Nessus	Ubuntu Local Security Checks	2024/8/22	2024/8/27	critical

检测

插件搜索

high

high

high

critical

critical