遠端主機上安裝的 xstream 版本早於 1.3.1-13。因此，會受到 ALAS2-2021-1645 公告中所提及的多個弱點影響。

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全性架構預設封鎖清單，則必須至少使用 1.4.16 版。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全性架構預設封鎖清單，則必須至少使用 1.4.16 版。(CVE-2021-21345)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控已處理的輸入資料流來執行任意程式碼。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全性架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21350)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Amazon Linux 2：xstream (ALAS-2021-1645)

critical Nessus Plugin ID 149867

找不到變更記錄