遠端 The remote Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-5946-1 公告中提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

  - XStream 可將 Java 物件序列化為 XML 並進行反序列化。 1.4.20 之前的版本可能讓遠端攻擊者能夠透過堆疊溢位錯誤使應用程式停止運作，導致攻擊者僅透過操控已處理的輸入資料流，便得以發動拒絕服務攻擊。此攻擊使用集合和對應的雜湊碼實作以強制執行遞回雜湊計算，進而造成堆疊溢位。此問題已在 1.4.20 版中修正，當中解決了堆疊溢位問題並改為發起 InputManipulationException。對於只使用 HashMap 或 HashSet 且其 XML 僅將 HashMap 或 HashSet 稱為預設對應或預設集的使用者，可能的因應措施是根據提及的公告中的程式碼範例變更 java.util.Map 和 java.util 的預設實作。但是，這表示您的應用程式並未關注對應的實作，而且所有元素都可比較。(CVE-2022-41966)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS：XStream 弱點 (USN-5946-1)

high Nessus Plugin ID 172496

版本 1.0