XStream 中存在一个漏洞，此漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。

java.io.InputStream、java.nio.channels.Channel、javax.activation.DataSource 和 javax.sql.rowsel.BaseRowSet 现已被列入黑名单，各个类型 com.sun.corba.se.impl.activation.ServerTableEntry、com.sun.tools.javac.processing.JavacProcessingEnvironment$NameProcessI terator、sun.awt.datatransfer.DataTransferer$IndexOrderComparator 和 sun.swing.SwingLazyValue 也不例外。此外，JAXB 的内部类型 Accessor$GetterSetterReflection、JAX-WS 的内部类型 MethodGetter$PrivilegedGetter 和 ServiceFinder$ServiceNameIterator，以及私有 BCEL 副本中使用的所有内部类和内部 ClassLoader，现在均位于默认黑名单中，并且包含其中一种类型的 XML 反序列化将失败。如果需要，必须通过显式配置启用这些类型。

对于 Debian 9 Stretch，已在版本 1.4.11.1-1+deb9u2 中修复这些问题。

建议您升级 libxstream-java 程序包。

如需了解 libxstream-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

远程主机上安装的 xstream 版本低于 1.3.1-13。因此，它受到公告 ALAS2-2021-1645 中提及的多个漏洞影响。

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21341)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而删除本地主机上的文件。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21343)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许权限充足的远程攻击者仅通过操纵处理过的输入流便可执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21345)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，允许远程攻击者占用消耗最大 CPU 时间且永远不会返回的线程。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21348)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 版本中有一个漏洞，远程攻击者可利用此漏洞，仅通过操纵已处理的输入流，从非公开可获取的内部资源请求数据。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21349)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21350)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前版本中有一个漏洞，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21351)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4943-1 公告中提及的多个漏洞的影响。

  - 版本 1.4.14 之前的 XStream 容易受到远程代码执行漏洞的影响。此漏洞可能允许远程攻击者仅通过操纵处理过的输入流来运行任意 shell 命令。只有依赖阻止列表的用户受到影响。使用 XStream 的 Security Framework 允许列表的任何用户均不受影响。链接公告为无法升级的用户提供代码变通方案。此问题已在  1.4.14 版本中修复。(CVE-2020-26217)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，可在解组时激活服务器端伪造请求漏洞。远程攻击者可利用此漏洞，通过操纵已处理的输入流，从不公开的内部资源请求数据。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26258)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.15 之前的版本中，本地主机在解组时，容易受到任意文件删除的影响。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可利用此漏洞删除主机上作为日志的任意已知文件。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。如果运行 Java 15 或更高版本，则报告的漏洞不存在。按照建议使用白名单来设置 XStream 安全框架的用户不会受到影响！任何依赖 XStream 默认黑名单的用户都可立即切换到允许类型的白名单，以避免漏洞。使用 XStream 1.4.14 或更低版本的用户若仍想使用 XStream 默认白名单，则可使用参考公告中更详细描述的变通方案。(CVE-2020-26259)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21341)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而导致服务器端伪造请求。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21342)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而删除本地主机上的文件。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21343)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许权限充足的远程攻击者仅通过操纵处理过的输入流便可执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21345)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，允许远程攻击者占用消耗最大 CPU 时间且永远不会返回的线程。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21348)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 版本中有一个漏洞，远程攻击者可利用此漏洞，仅通过操纵已处理的输入流，从非公开可获取的内部资源请求数据。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21349)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21350)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前版本中有一个漏洞，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21351)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 14.04 LTS / 16.04 LTS 主机上安装的程序包受到 USN-6978-1 公告中提及的多个漏洞的影响。

    发现 XStream 未正确处理对某些特制 XML 文档的解析。远程攻击者可能利用此问题读取任意文件。(CVE-2016-3674)

    Zhihong Tian 和 Hui Lu 发现 XStream 容易受到远程代码执行漏洞的影响。远程攻击者可能通过操纵处理过的输入流来运行任意 shell 命令。(CVE-2020-26217)

    发现 XStream 容易遭受服务器端伪造攻击。远程攻击者可能通过操纵已处理的输入流，从不公开的内部资源请求数据。(CVE-2020-26258)

    发现 XStream 容易在本地主机上遭受任意文件删除。由于执行进程只有通过操纵已处理的输入流才具有足够权限，远程攻击者可能利用此漏洞删除主机上的任意已知文件。(CVE-2020-26259)

    发现 XStream 容易遭受拒绝服务、任意代码执行、任意文件删除和服务器端伪造攻击。远程攻击者可通过操控已处理的输入流，造成上述任何问题。（CVE-2021-21341、CVE-2021-21342、CVE-2021-21343、CVE-2021-21344、CVE-2021-21345、CVE-2021-21346、CVE-2021-21347、CVE-2021-21348、CVE-2021-21349、CVE-2021-21350、CVE-2021-21351）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10/11 主机上安装的一个程序包受到 dsa-5004 公告中提及的多个漏洞影响。

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21341)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而导致服务器端伪造请求。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21342)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，解组时处理的流包含用于重新创建之前写入对象的类型信息。XStream 因此会根据这些类型信息创建新的实例。攻击者可操纵处理后的输入流，并替换或注入对象，进而删除本地主机上的文件。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21343)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许权限充足的远程攻击者仅通过操纵处理过的输入流便可执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21345)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 之前版本中有一个漏洞，允许远程攻击者占用消耗最大 CPU 时间且永远不会返回的线程。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21348)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。在 XStream 1.4.16 版本中有一个漏洞，远程攻击者可利用此漏洞，仅通过操纵已处理的输入流，从非公开可获取的内部资源请求数据。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21349)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21350)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前版本中有一个漏洞，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
    (CVE-2021-21351)

  - XStream 是一款可将 Java 对象序列化为 XML，再将 XML 序列化为 Java 对象的软件。XStream 1.4.17 之前的版本中存在一个漏洞，权限充足的远程攻击者可利用此漏洞，仅通过操纵处理过的输入流执行主机命令。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。此漏洞已在版本 1.4.17 中修复。(CVE-2021-29505)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。仅当使用随附 JDK 1.7u21 或更低版本的开箱即用版本时，用户才会受到影响。但是，无论 Java 运行时的版本为何，均可轻松调整此方案以适应外部 Xalan 的运行情况。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。XStream 1.4.18 默认不再使用黑名单，因为其无法出于一般用途获得保护。(CVE-2021-39139)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。XStream 1.4.18 默认不再使用黑名单，因为其无法出于一般用途获得保护。(CVE-2021-39140)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。XStream 1.4.18 默认不再使用黑名单，因为其无法出于一般用途获得保护。（CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，权限充足的远程攻击者可利用此漏洞，仅通过操纵处理过的输入流执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。XStream 1.4.18 默认不再使用黑名单，因为其无法出于一般用途获得保护。(CVE-2021-39144)

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，此漏洞可能允许远程攻击者仅通过使用 Java 运行时版本 14 到 8 来操纵处理过的输入流，从非公开可用的内部资源中请求数据。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架 (https://x-stream.github.io/security.html#framework) 的默认黑名单，则必须至少使用 1.4.18 版（CVE-2021-39150、CVE-2021-39152）

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易库。在受影响的版本中，如果使用的是随附 Java 运行时 14 版至 8 版的开箱即用版本或已安装 JavaFX，远程攻击者仅通过操纵处理后的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。XStream 1.4.18 默认不再使用黑名单，因为其无法出于一般用途获得保护。(CVE-2021-39153)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
148312	Debian DLA-2616-1：libxstream-java 安全更新	Nessus	Debian Local Security Checks	2021/4/5	2024/1/16	critical
149867	Amazon Linux 2：xstream (ALAS-2021-1645)	Nessus	Amazon Linux Local Security Checks	2021/5/24	2024/12/11	critical
149408	Ubuntu 18.04 LTS / 20.04 LTS：XStream 漏洞 (USN-4943-1)	Nessus	Ubuntu Local Security Checks	2021/5/12	2024/8/27	critical
206123	Ubuntu 14.04 LTS / 16.04 LTS：XStream 漏洞 (USN-6978-1)	Nessus	Ubuntu Local Security Checks	2024/8/22	2024/8/27	critical
155294	Debian DSA-5004-1：libxstream-java - 安全更新	Nessus	Debian Local Security Checks	2021/11/12	2025/1/24	critical

检测

插件搜索

critical

critical

critical

critical

critical