安(ān)全通告—亚信安(ān)全—护航产(chǎn)业互联安(ān)全数字世界

漏洞描述

8月23日，亚信安(ān)全CERT监控到XStream官方发布安(ān)全更新(xīn)，修复了CVE-2021-39139在内的多(duō)个漏洞（PoC已公(gōng)开）。XStream是一个常用(yòng)的能(néng)将Java对象转化成XML格式数据并能(néng)从XML反序列化的工(gōng)具(jù)，攻击者可(kě)以利用(yòng)相关漏洞，并让目标解析其构造的恶意的XML时，可(kě)执行任意代码。并且此次修复的部分(fēn)漏洞仅需依赖JDK库即可(kě)触发反序列化造成任意代码执行。

鉴于该组件使用(yòng)量较多(duō)，漏洞危害较大，建议客户及时进行自查和更新(xīn)。

漏洞编号

CVE-2021-39139，任意代码执行漏洞，高危

CVE-2021-39140，拒绝服務(wù)漏洞，高危

CVE-2021-39141，任意代码执行漏洞，高危

CVE-2021-39144，遠(yuǎn)程命令执行漏洞，高危

CVE-2021-39145，任意代码执行漏洞，高危

CVE-2021-39146，任意代码执行漏洞，高危

CVE-2021-39147，任意代码执行漏洞，高危

CVE-2021-39148，任意代码执行漏洞，高危

CVE-2021-39149，任意代码执行漏洞，高危

CVE-2021-39150，SSRF漏洞，中(zhōng)危

CVE-2021-39151，任意代码执行漏洞，高危

CVE-2021-39152，SSRF漏洞，中(zhōng)危

CVE-2021-39153，任意代码执行漏洞，高危

CVE-2021-39154，任意代码执行漏洞，高危

受影响的版本

XStream <= 1.4.17

修复建议

1.版本确认：

排查项目jar文(wén)件或者依赖配置文(wén)件中(zhōng)XStream的版本，如果低于低于1.4.17（包括 1.4.17），则受漏洞影响，需要更新(xīn)到1.4.18版本。

2.目前官方已经发布安(ān)全版本修复相关漏洞，请及时更新(xīn)到安(ān)全版本XStream 1.4.18：

3.XStream以往版本默认使用(yòng)黑名(míng)单进行安(ān)全防护，而黑名(míng)单极易被绕过。在此次更新(xīn)中(zhōng)，XStream将默认使用(yòng)白名(míng)单的方式进行过滤，强烈建议客户升级默认使用(yòng)白名(míng)单对应的1.4.18版本。

参考链接

https://x-stream.github.io/security.html

http://x-stream.github.io/changes.html

产(chǎn)品全景图 >

安(ān)全服務(wù) >

安(ān)全运营 >

首页(yè)

产(chǎn)品与服務(wù)

云安(ān)全

终端安(ān)全

数据安(ān)全

身份安(ān)全

高级威胁治理(lǐ)

网络与通信安(ān)全

安(ān)全管理(lǐ)

SaaS服務(wù)

一體(tǐ)化智能(néng)安(ān)全运营平台

网络管理(lǐ)

信息技(jì )术应用(yòng)创新(xīn)

工(gōng)业安(ān)全

解决方案与案例

客户支持

合作(zuò)共赢

安(ān)全通告

C3安(ān)全大会

投资者关系

关于我们

安(ān)全通告