Debian DSA-5315-1：libxstream-java - 安全性更新
high Nessus Plugin ID 169930
語系：
概要
遠端 Debian 主機缺少安全性相關更新。說明
遠端 Debian 11 主機上安裝的套件受 dsa-5315 公告中提及的弱點影響。- XStream 可將 Java 物件序列化為 XML 並進行反序列化。 1.4.20 之前的版本可能讓遠端攻擊者能夠透過堆疊溢位錯誤使應用程式停止運作，導致攻擊者僅透過操控已處理的輸入資料流，便得以發動拒絕服務攻擊。此攻擊使用集合和對應的雜湊碼實作以強制執行遞回雜湊計算，進而造成堆疊溢位。此問題已在 1.4.20 版中修正，當中解決了堆疊溢位問題並改為發起 InputManipulationException。對於只使用 HashMap 或 HashSet 且其 XML 僅將 HashMap 或 HashSet 稱為預設對應或預設集的使用者，可能的因應措施是根據提及的公告中的程式碼範例變更 java.util.Map 和 java.util 的預設實作。但是，這表示您的應用程式並未關注對應的實作，而且所有元素都可比較。(CVE-2022-41966)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 libxstream-java 套件。針對穩定的發行版本 (bullseye)，已在 1.4.15-3+deb11u2 版中修正此問題。
另請參閱
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1027754
http://www.nessus.org/u?b2068716
https://www.debian.org/security/2023/dsa-5315
Plugin 詳細資訊
嚴重性: High
ID: 169930
檔案名稱: debian_DSA-5315.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2023/1/12
已更新: 2023/9/8
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: High
基本分數: 7.8
時間分數: 6.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2022-41966
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:libxstream-java, cpe:/o:debian:debian_linux:11.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2023/1/11
弱點發布日期: 2022/12/28
參考資訊
CVE: CVE-2022-41966