遠端 Debian 9 主機上安裝的一個套件受到 dla-2769 公告中提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-2769-1：libxstream-java - LTS 安全性更新

high Nessus Plugin ID 153811

版本 1.4