Podatności XStream

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym, przy użyciu Java w wersji 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście frameworka bezpieczeństwa, musisz użyć co najmniej wersji 1.4.18.

Biblioteka XStream, służąca do serializacji obiektów do i z XML, w wersjach podatnych pozwala zdalnemu atakującemu wywołać 100% zużycie CPU na systemie docelowym poprzez manipulację przetwarzanym strumieniem wejściowym. Prowadzi to do ataku typu denial of service (odmowa usługi). Podatność nie dotyczy użytkowników, którzy skonfigurowali whitelistę ograniczoną do minimalnego wymaganego zestawu typów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym, jeśli używana jest wersja z Java runtime 14 do 8 lub z zainstalowanym JavaFX. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych zastosowań.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczona do ogólnych celów.

Podatność w XStream w dotkniętych wersjach umożliwia zdalnemu atakującemu załadowanie i wykonanie dowolnego kodu z zdalnego hosta, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na wykonanie dowolnego kodu z zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownik jest dotknięty tylko wtedy, gdy używa wersji z JDK 1.7u21 lub niższej, ale scenariusz może być dostosowany do zewnętrznego Xalana działającego niezależnie od wersji Java. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Wersja 1.4.18 nie używa już domyślnie czarnej listy.

Podatność w XStream przed wersją 1.4.17 umożliwia zdalnemu atakującemu z odpowiednimi uprawnieniami wykonanie poleceń na hoście, manipulując przetwarzanym strumieniem wejściowym. Użytkownicy stosujący białą listę nie są dotknięci.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na żądanie danych z zasobów wewnętrznych, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na zajęcie wątku, który zużywa maksymalny czas procesora i nigdy nie kończy pracy. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu na załadowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 pozwala zdalnemu atakującemu z odpowiednimi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Podatność nie dotyczy użytkowników, którzy skonfigurowali białą listę dozwolonych typów w ramach mechanizmu bezpieczeństwa XStream.

XStream przed wersją 1.4.16 zawiera podatność umożliwiającą zdalnemu atakującemu ładowanie i wykonanie dowolnego kodu ze zdalnego hosta poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy z białą listą minimalnych typów nie są dotknięci.

Biblioteka XStream przed wersją 1.4.16 zawiera podatność, w której przetwarzany strumień podczas deserializacji zawiera informacje o typach pozwalające odtworzyć wcześniej zapisane obiekty. Atakujący może manipulować strumieniem wejściowym i zastępować lub wstrzykiwać obiekty, co prowadzi do usunięcia pliku na hoście lokalnym.

Biblioteka XStream przed wersją 1.4.16 zawiera podatność, w której przetwarzany strumień podczas deserializacji zawiera informacje o typach pozwalające odtworzyć wcześniej zapisane obiekty. Atakujący może manipulować strumieniem wejściowym i zastępować lub wstrzykiwać obiekty, co prowadzi do podrobienia żądania po stronie serwera (SSRF).

Podatność w XStream przed wersją 1.4.16 umożliwia atakującemu spowodowanie alokacji 100% czasu CPU na systemie docelowym, co prowadzi do odmowy usługi. Dotyczy użytkowników polegających na domyślnej czarnej liście Security Framework.

XStream przed wersją 1.4.15 jest podatny na usunięcie dowolnych plików na hoście lokalnym podczas unmarshalling. Zdalny atakujący może usunąć znane pliki, jeśli proces ma wystarczające uprawnienia, manipulując przetwarzanym strumieniem wejściowym.

XStream przed wersją 1.4.15 zawiera podatność Server-Side Request Forgery (SSRF) aktywowaną podczas unmarshalling. Zdalny atakujący może żądać danych z wewnętrznych zasobów niedostępnych publicznie, manipulując przetwarzanym strumieniem wejściowym.

Podatność w XStream przed wersją 1.4.14 umożliwia zdalne wykonanie kodu. Atakujący może uruchomić dowolne polecenia powłoki, manipulując przetwarzanym strumieniem wejściowym. Dotyczy tylko użytkowników polegających na listach blokowanych.

Xstream API w wersjach do 1.4.6 oraz 1.4.10, jeśli framework bezpieczeństwa nie został zainicjalizowany, może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń powłoki poprzez manipulację przetwarzanym strumieniem wejściowym podczas deserializacji XML lub innych formatów, np. JSON.

XStream do wersji 1.4.9, gdy nie stosuje się obejścia denyTypes, nieprawidłowo obsługuje próby utworzenia instancji typu prymitywnego 'void' podczas unmarshalling, co prowadzi do awarii zdalnej aplikacji. Przykładem jest wywołanie xstream.fromXML("<void/>").

Wiele podatności typu XML External Entity (XXE) w sterownikach Dom4JDriver, DomDriver, JDomDriver, JDom2Driver, SjsxpDriver, StandardStaxDriver i WstxDriver w XStream przed 1.4.9 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez spreparowany dokument XML.

XStream to biblioteka do serializacji obiektów do XML i z powrotem. Podatność pozwala zdalnemu atakującemu na żądanie danych z wewnętrznych zasobów, które nie są publicznie dostępne, poprzez manipulację przetwarzanym strumieniem wejściowym z Java runtime 14 do 8. Użytkownicy, którzy skonfigurowali framework bezpieczeństwa z białą listą, nie są dotknięci. Jeśli polegasz na domyślnej czarnej liście, musisz użyć co najmniej wersji 1.4.18.