CVE-2021-29505：XStream 远程代码执行漏洞通告

2021-05-21 921

报告编号：B6-2021-051703

报告来源：360CERT

报告作者：360CERT

更新日期：2021-05-17

1 漏洞简述

2021年05月17日，360CERT监测发现XStream官网发布了XStream安全更新，漏洞编号为CVE-2021-29505，漏洞等级：严重，漏洞评分：9.8。

XStream是一种OXMapping技术，是用来处理XML文件序列化的框架,在将javaBean序列化，或将XML文件反序列化的时候，不需要其它辅助类和映射文件，使得XML序列化不再繁琐。

对此，360CERT建议广大用户及时将XStream升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	严重
影响面	广泛
360CERT评分	9.8

3 漏洞详情

CVE-2021-29505: 代码执行漏洞

CVE: CVE-2021-29505

组件: XStream
漏洞类型: 代码执行
影响: 服务器接管
简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

4 影响版本

- XStream: <=1.4.16

5 修复建议

通用修补建议

建议直接更新到最新版本

XStream官方下载地址https://x-stream.github.io/download.html

微信关注我们

原文链接：https://www.oschina.net/news/142478

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Android 应用因云端配置错误，致使上亿用户数据泄漏

网络安全公司 Check Point Research 在周四发表了一份报告，在这份报告中 Check Point Research 表示，至少有 23 个热门的 Android 应用程序包含各种「第三方云服务的错误配置」。而这些严重的云服务错误配置，导致超过 1 亿用户的个人数据被泄漏。云服务如今已被各种在线服务和应用程序广泛使用，而且在疫情的影响下，人们远程工作和学习也促使云服务被更加频繁地使用。云服务在数据管理、存储和处理方面都非常有效，但只要有一次访问或授权上出现疏忽就有可能导致所存储的各种数据被泄漏。如今的应用程序通常会与实时数据库进行整合，以存储和同步不同平台的数据。然而，Check Point Research 的报告显示，有很多热门应用程序的开发者未能确保云服务认证机制被准确配置。报告显示，这 23 款 Android 应用涵盖了打车应用、设计软件、屏幕录制工具、传真服务和天文软件—— 泄露的数据包括电子邮件记录、通信信息、位置信息、用户 ID、密码和图像。在这些应用程序中，有 13 个是敏感数据在不安全的云端设置下可以被公开访问。这些应用程序的下载量分别在 1...

2021-05-21

560

5月20日，由深度学习技术及应用国家工程实验室与百度联合主办的 WAVE SUMMIT 2021深度学习开发者峰会在北京召开。百度首席技术官、深度学习技术及应用国家工程实验室主任王海峰在峰会上致辞。王海峰透露，飞桨已凝聚320万开发者，相比1年前增长近70%；服务的企事业单位达到12万家。王海峰也分享了在现阶段关于人工智能技术和产业发展的两点思考：一是融合创新。从技术的角度，知识与深度学习相结合，突破了知识增强的深度语义理解；多技术融合创新，通过知识图谱关联跨模态信息，用自然语言语义表示融合语言、语音、视觉等不同模态的语义空间，突破跨模态语义理解。从平台的角度，深度学习平台与芯片软硬一体融合创新，满足不同算力、功耗、时延等的多样化需求，取得 AI 应用的最佳效果。飞桨针对多种芯片并存的环境，研制了异构参数服务器训练技术，突破了超大模型的高效训练难题。目前，飞桨已经和22家国内外硬件厂商开展适配和联合优化，硬件生态蓬勃发展。从产业的角度，人工智能技术越来越深入与产业融合，以产业需求为牵引，持续打磨 AI 技术及平台能力，与应用场景融合创新发展。二是降低门槛。随着人工智能技术在...

2021-05-21

474

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。