遠端 Scientific Linux 7 主機上安裝的套件受到 SLSA-2021: 3956-1 公告。

  - xstream：透過 Xalan xsltc.trax.TemplatesImpl 的不安全還原序列化執行任意程式碼 (CVE-2021-39139，CVE-2021-39153)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39141)

  - xstream：透過 sun.tracing.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39144)

  - xstream：透過 com.sun.jndi.ldap.LdapBindingEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39145，CVE-2021-39151)

  - xstream：透過 javax.swing.UIDefaults 的不安全還原序列化執行任意程式碼$ProxyLazyValue (CVE-2021-39146，CVE-2021-39154)

  - xstream：透過 com.sun.jndi.ldap.LdapSearchEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39147)

  - xstream：透過 com.sun.jndi.toolkit.dir.ContextEnumerator 的不安全還原序列化執行任意程式碼 (CVE-2021-39148)

  - xstream：透過 com.sun.corba.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39149)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化完成的伺服器端要求偽造 (SSRF) (CVE-2021-39150)

  - xstream：透過 jdk.nashorn.internal.runtime.Source 的不安全還原序列化完成的伺服器端要求偽造 (SSRF)$URLData (CVE-2021-39152)

  - xstream：透過 sun.reflect.annotation.AnnotationInvocationHandler 的不安全還原序列化形成的無限迴圈 DoS (CVE-2021-39140)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Scientific Linux 安全性更新：SL7.x (noarch) 上的 xstream (2021:3956)

high Nessus Plugin ID 154412

版本 1.4