PT-2021-4766 · Xstream+5 · Xstream+5
Publicado
2021-03-12
·
Atualizado
2024-08-22
·
CVE-2021-21348
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do XStream anteriores à 1.4.16
Descrição
O problema diz respeito a uma biblioteca Java usada para serializar objetos para XML e vice-versa. Isso pode permitir que um invasor remoto ocupe uma thread, fazendo com que ela consuma o tempo máximo de CPU e nunca retorne. Os usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões limitada não são afetados. A vulnerabilidade pode ser explorada para causar uma negação de serviço ao consumir o tempo máximo da CPU.
Recomendações
Para resolver o problema, use pelo menos a versão 1.4.16 se você depende da lista negra padrão da estrutura de segurança do XStream.
Como solução temporária, considere configurar a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários até que um patch seja aplicado.
Correção
Deserialization of Untrusted Data
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Suse
Ubuntu
Xstream