PT-2021-22403 · Xstream+6 · Xstream+6
Publicado
2021-08-23
·
Atualizado
2024-06-15
·
CVE-2021-39147
CVSS v3.1
8.5
Alta
| Vetor | AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do XStream anteriores à 1.4.18
Descrição
A vulnerabilidade permite que um invasor remoto carregue e execute código arbitrário a partir de um host remoto, manipulando o fluxo de entrada processado. Os usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões (whitelist) limitada aos tipos mínimos necessários não são afetados. A vulnerabilidade está relacionada ao uso de uma lista de restrições (blacklist), que não pode ser protegida para uso geral, e foi corrigida no XStream 1.4.18 com o uso de uma lista de permissões (whitelist) por padrão.
Recomendações
Para versões anteriores à 1.4.18, configure a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários para evitar a exploração.
Como solução alternativa temporária, considere configurar a estrutura de segurança para permitir apenas os tipos necessários até que um patch esteja disponível.
Exploit
Correção
Deserialization of Untrusted Data
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Red Hat
Suse
Ubuntu
Xstream