PT-2021-22399 · Xstream+6 · Xstream+6

CVE-2021-39140 · Publicado 2021-08-23 · Atualizado 2023-03-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do XStream anteriores à 1.4.18

Descrição

A vulnerabilidade pode permitir que um invasor remoto ocupe 100% do tempo de CPU no sistema alvo, dependendo do tipo de CPU ou da execução paralela de uma carga maliciosa, resultando em uma negação de serviço por meio da manipulação do fluxo de entrada processado. Usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários não são afetados.

Recomendações

Para versões anteriores à 1.4.18, configure a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários para evitar a exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

DoS

Deserialization of Untrusted Data

Infinite Loop

Enumeração de Fraquezas

CWE-502

CWE-835

Identificadores relacionados

ALT-PU-2022-7660

CVE-2021-39140

DLA-2769-1

DSA-5004-1

ELSA-2021-3956

GHSA-6WF9-JMG9-VXCC

MGASA-2021-0474

OESA-2021-1337

OPENSUSE-SU-2021:1401-1

OPENSUSE-SU-2021:3476-1

OPENSUSE-SU-2021_1401-1

OPENSUSE-SU-2021_3476-1

RHSA-2021:3956

RHSA-2021_3956

SUSE-SU-2021:3476-1

USN-5946-1

Produtos afetados

Alt Linux

Astra Linux

Linuxmint

Red Hat

Suse

Ubuntu

Xstream

Referências · 92

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/vmware_nsxmgr_xstream_rce_cve_2021_39144.rb · Exploit
• 🔥 https://github.com/jas502n/CVE-2020-26259 · Exploit
• 🔥 https://github.com/MyBlackManba/CVE-2021-29505 · Exploit
• 🔥 https://github.com/111ddea/Xstream_cve-2022-41966 · Exploit
• 🔥 https://github.com/Al1ex/CVE-2020-26259 · Exploit
• 🔥 https://x-stream.github.io/CVE-2021-39140.html · Exploit
• 🔥❌ https://github.com/b3wT/CVE-2021-39144-XSTREAM-RCE · Exploit, Deleted
• https://github.com/x-stream/xstream/security/advisories/GHSA-6wf9-jmg9-vxcc · Nota
• https://github.com/x-stream/xstream · Nota
• https://oracle.com/security-alerts/cpujan2022.html · Correção
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://ubuntu.com/security/CVE-2021-39146 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6wf9-jmg9-vxcc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39144 · Nota de Segurança