PT-2021-4787 · Xstream+7 · Xstream+7
CVE-2021-21350
·
Publicado
2021-03-12
·
Atualizado
2024-08-22
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do XStream anteriores à 1.4.16
Descrição
O problema diz respeito a uma biblioteca Java usada para serializar objetos para XML e vice-versa. Isso pode permitir que um invasor remoto execute código arbitrário manipulando o fluxo de entrada processado. Os usuários que configuraram a estrutura de segurança com uma lista de permissões limitada aos tipos mínimos necessários não são afetados. A vulnerabilidade está relacionada ao carregamento ilimitado de tipos de arquivos perigosos.
Recomendações
Para resolver o problema, use pelo menos a versão 1.4.16 se você depende da lista negra padrão do XStream na estrutura de segurança. Como solução temporária, considere configurar a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários até que um patch esteja disponível. Restrinja o acesso à biblioteca
XStream vulnerável para minimizar o risco de exploração. Evite usar a lista negra padrão da estrutura de segurança até que o problema seja resolvido.Exploit
Correção
Unrestricted File Upload
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Centos
Linuxmint
Red Hat
Suse
Ubuntu
Xstream