PT-2021-4783 · Xstream+7 · Xstream+7

Publicado 2021-03-12 · Atualizado 2024-08-22 · CVE-2021-21346

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do XStream anteriores à 1.4.16

Descrição

O problema está relacionado à biblioteca Java do XStream, utilizada para serializar objetos para XML e vice-versa. Isso pode permitir que um invasor remoto carregue e execute código arbitrário a partir de um host remoto, manipulando o fluxo de entrada processado. Usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários não são afetados.

Recomendações

Para versões anteriores à 1.4.16, atualize para pelo menos a versão 1.4.16 para resolver o problema. Como solução alternativa temporária, considere configurar a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários.

Exploit

Correção

Unrestricted File Upload

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-434

CWE-502

Identificadores relacionados

ALT-PU-2022-7660

BDU:2021-05502

BIT-ACTIVEMQ-2021-21346

CESA-2021_1354

CVE-2021-21346

DLA-2616-1

DSA-5004-1

ELSA-2021-1354

GHSA-4HRM-M67V-5CXR

MGASA-2021-0370

OESA-2021-1185

OPENSUSE-SU-2021:0832-1

OPENSUSE-SU-2021:1840-1

OPENSUSE-SU-2021_0832-1

OPENSUSE-SU-2021_1840-1

OPENSUSE-SU-2024:10592-1

RHSA-2021:1354

RHSA-2021_1354

SUSE-SU-2021:1840-1

SUSE-SU-2021:1840-2

USN-4943-1

USN-6978-1

Produtos afetados

Alt Linux

Astra Linux

Centos

Linuxmint

Red Hat

Suse

Ubuntu

Xstream

Referências · 121

• 🔥 https://x-stream.github.io/CVE-2021-21346.html · Exploit
• https://github.com/x-stream/xstream/security/advisories/GHSA-4hrm-m67v-5cxr · Nota
• https://github.com/x-stream/xstream · Nota
• https://bugzilla.suse.com/1184373 · Nota
• https://bugzilla.suse.com/1184796 · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-4943-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-26258 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2021-21341 · Nota
• https://bugzilla.suse.com/1184376 · Nota
• https://debian.org/lts/security/2021/dla-2616 · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2021-21346 · Nota
• https://ubuntu.com/security/CVE-2021-21346 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21341 · Nota de Segurança