Amazon Linux 2：xstream (ALAS-2023-2007)

high Nessus Plugin ID 173906

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 xstream 版本早於 1.3.1-16。因此，會受到 ALAS2-2023-2007 公告中提及的一個弱點影響。

- XStream 可將 Java 物件序列化為 XML 並進行反序列化。 1.4.20 之前的版本可能讓遠端攻擊者能夠透過堆疊溢位錯誤使應用程式停止運作，導致攻擊者僅透過操控已處理的輸入資料流，便得以發動拒絕服務攻擊。此攻擊使用集合和對應的雜湊碼實作以強制執行遞回雜湊計算，進而造成堆疊溢位。此問題已在 1.4.20 版中修正，當中解決了堆疊溢位問題並改為發起 InputManipulationException。對於只使用 HashMap 或 HashSet 且其 XML 僅將 HashMap 或 HashSet 稱為預設對應或預設集的使用者，可能的因應措施是根據提及的公告中的程式碼範例變更 java.util.Map 和 java.util 的預設實作。但是，這表示您的應用程式並未關注對應的實作，而且所有元素都可比較。(CVE-2022-41966)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。