XStream 多个高危漏洞通告-低调大师

XStream 多个高危漏洞通告

2021-08-24 1477

报告编号：B6-2021-082301

报告来源：360CERT

报告作者：360CERT

更新日期：2021-08-23

1 风险简述

2021年08月23日，360CERT监测发现XStream 官方发布了XStream的风险通告，漏洞编号为CVE-2021-39139,CVE-2021-39140,CVE-2021-39141,CVE-2021-39144,CVE-2021-39145,CVE-2021-39146,CVE-2021-39147,CVE-2021-39148,CVE-2021-39149,CVE-2021-39150,CVE-2021-39151,CVE-2021-39152,CVE-2021-39153,CVE-2021-39154，漏洞等级：严重，漏洞评分：9.8。目前该漏洞安全补丁已更新，漏洞细节已公开，POC（概念验证代码）已公开，在野利用未发现。

对此，360CERT建议广大用户及时将XStream升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 相关组件

XStream是Java类库，用来将对象序列化成XML/JSON或反序列化为对象，不需要其它辅助类和映射文件，使得XML序列化不再繁琐。XStream在很多中间件中以第三方依赖的形式引入，使用广泛。

3 风险状态

类别	状态
安全补丁	已公开
漏洞细节	已公开
poc	已公开
在野利用	未发现
相关安全事件	未发现

4 风险等级

评定方式	等级
威胁等级	严重
影响面	一般
攻击者价值	高
利用难度	低
360CERT评分	9.8

5 风险详情

CVE-2021-39139: XStream 代码执行漏洞

CVE: CVE-2021-39139

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操作已处理的输入流并替换或注入对象，从而在服务器上本地执行命令。

CVE-2021-39140: XStream 拒绝服务漏洞

CVE: CVE-2021-39140

组件: xstream

漏洞类型: 拒绝服务

影响: 拒绝服务

简述: 该漏洞可能允许远程攻击者根据 CPU 类型或此类负载的并行执行在目标系统上分配 100% 的 CPU 时间，从而仅通过操纵处理过的输入流导致拒绝服务。

CVE-2021-39141: XStream 代码执行漏洞

CVE: CVE-2021-39141

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

CVE-2021-39144: XStream 代码执行漏洞

CVE: CVE-2021-39144

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操作已处理的输入流并替换或注入对象，从而在服务器上本地执行命令。

CVE-2021-39145: XStream 代码执行漏洞

CVE: CVE-2021-39145

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操作已处理的输入流并替换或注入对象，从而在服务器上本地执行命令。

CVE-2021-39146: XStream 代码执行漏洞

CVE: CVE-2021-39146

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

CVE-2021-39147: XStream 代码执行漏洞

CVE: CVE-2021-39147

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

CVE-2021-39148: XStream 代码执行漏洞

CVE: CVE-2021-39148

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

CVE-2021-39149: XStream 代码执行漏洞

CVE: CVE-2021-39149

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操作已处理的输入流并替换或注入对象，从而在服务器上本地执行命令。

CVE-2021-39150: XStream 服务器端请求伪造漏洞

CVE: CVE-2021-39150

组件: xstream

漏洞类型: 服务器端请求伪造

影响: 服务器端请求伪造

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而导致服务端请求伪造。

CVE-2021-39151: XStream 代码执行漏洞

CVE: CVE-2021-39151

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

CVE-2021-39152: XStream 服务器端请求伪造漏洞

CVE: CVE-2021-39152

组件: xstream

漏洞类型: 服务器端请求伪造

影响: 服务器端请求伪造

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而导致服务端请求伪造。

CVE-2021-39153: XStream 代码执行漏洞

CVE: CVE-2021-39153

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操作已处理的输入流并替换或注入对象，从而在服务器上本地执行命令。

CVE-2021-39154: XStream 代码执行漏洞

CVE: CVE-2021-39154

组件: xstream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

6 影响版本

组件	影响版本	安全版本
xstream	<1.4.18	1.4.18

7 修复建议

通用修补建议

建议升级到最新版本，并按照官方提供的缓解措施进行修复：

XStream官方通告

https://x-stream.github.io/security.html#workaround

8 时间线

2021-08-22 XStream官方发布通告

2021-08-23 360CERT发布通告

9 参考链接

1、 XStream官方通告

https://x-stream.github.io/news.html

10 特制报告下载链接

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

2021-08: XStream 多个高危漏洞通告

http://certdl.qihucdn.com/cert-public-file/buddha_alert/【360CERT】2021-08__XStream_多个高危漏洞通告.pdf

微信关注我们

原文链接：https://www.oschina.net/news/157052

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Wine 专区上线！PS 等榜单前 6 都在这

关注优麒麟，更多干货等着你！一直以来，优麒麟社区都在积极收集和采纳用户的反馈，知道用户对于常用娱乐、办公软件的需求日渐迫切，Linux 环境下生态太少的问题也日渐突出。现在，好消息来啦！ukylin-wine 正式入库优麒麟源和上线优麒麟官网，目前有如下 6 款应用可供使用：QQ、微信、腾讯会议、企业微信、Photoshop、蓝信，哪一款最满足你的期待？ ukylin-wine 介绍 ukylin-wine 是基于 Wine 开发的一款软件，用于在 Linux 系统上兼容运行 Windows 软件，与 Wine 相比有如下特点： 1.采用了类似于 AppImage 的依赖自包含方案，解决了 Wine 因为依赖包缺失或者版本不对导致的功能缺陷问题，并使ukylin-wine 可应用多个 Linux 发行版。 2.ukylin-wine 方案为方便用户使用，把其模拟运行的 Windows 应用程序也封成了 Deb 包，用户可直接安装使用，免去了配置 Wine 程序的繁琐步骤。软件介绍 QQ：是腾讯公司推出的一款基于互联网的即时通信软件。微信：是腾讯公司推出的一款为智能终端提供即时通讯...

2021-08-24

599

本篇文章探讨数字虚拟人大爆发前的必要条件。虽然数字虚拟人越来越受关注，如果要迎来大爆发，虚拟偶像甚至能部分替代频频爆雷的真人偶像地位，但是还需要新平台的出现。因为，数字虚拟人从表面上看是一种娱乐，但本质上，数字虚拟人是新的网络应用服务，像社交、电商、外卖一样，需要强大专门的、专为虚拟人/虚拟偶像服务的平台。新平台首先要做到：将打造超写实数字虚拟人的高门槛、高投入真正降下来，变成普及化服务。解决现在如果想开发超写实虚拟人，花费很贵、难以实时直播、也无法快速批量生产内容等诸多问题。比如一些超写实的数字虚拟人，目前也只是能做到发几张图片的程度，做到视频的很少，既少也不足。某高知名度的新消费品牌，推出了广受好评的品牌虚拟人形象，但公布的也只是一张图片，据了解还在非常初期的阶段，并没有真正进入到动态内容开发。目前市场上的虚拟偶像天团，只是几家娱乐大公司的烧钱游戏，一个4人虚拟偶像天团，可以在短短几年内烧掉近亿元的资金，而且还远没有达到高仿真的程度。这些都亟待新平台的出现来解决，而众多巨头都在进行布局。我最近发现，新发布的百度智能云“数字明星运营平台与灿星计划”，有可能就...

2021-08-24

634

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。