遠端 Debian 9 主機上安裝的一個套件受到 dla-2769 公告中提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 3956 公告。

  - xstream：透過 Xalan xsltc.trax.TemplatesImpl 的不安全還原序列化執行任意程式碼 (CVE-2021-39139，CVE-2021-39153)

  - xstream：透過 sun.reflect.annotation.AnnotationInvocationHandler 的不安全還原序列化形成的無限迴圈 DoS (CVE-2021-39140)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39141)

  - xstream：透過 sun.tracing.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39144)

  - xstream：透過 com.sun.jndi.ldap.LdapBindingEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39145，CVE-2021-39151)

  - xstream：透過 javax.swing.UIDefaults 的不安全還原序列化執行任意程式碼$ProxyLazyValue (CVE-2021-39146，CVE-2021-39154)

  - xstream：透過 com.sun.jndi.ldap.LdapSearchEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39147)

  - xstream：透過 com.sun.jndi.toolkit.dir.ContextEnumerator 的不安全還原序列化執行任意程式碼 (CVE-2021-39148)

  - xstream：透過 com.sun.corba.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39149)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化完成的伺服器端要求偽造 (SSRF) (CVE-2021-39150)

  - xstream：透過 jdk.nashorn.internal.runtime.Source 的不安全還原序列化完成的伺服器端要求偽造 (SSRF)$URLData (CVE-2021-39152)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 xstream 版本早於 1.3.1-16。因此，會受到 ALAS2-2021-1729 公告中所提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Debian 10/11 主機上安裝的套件受到 dsa-5004 公告中提及的多個弱點影響。

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中有一個弱點，遠端攻擊者可以根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21341)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中有一個弱點，其中取消編組時處理的資料流在重新建立先前寫入的物件時會包含類型資訊。XStream 因此會根據這些類型資訊建立新的執行個體。攻擊者可操控處理過的輸入資料流，並取代或插入物件，進而導致伺服器端偽造要求。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21342)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中有一個弱點，其中取消編組時處理的資料流在重新建立先前寫入的物件時會包含類型資訊。XStream 因此會根據這些類型資訊建立新的執行個體。攻擊者可操控處理過的輸入資料流，並取代或插入物件，進而導致刪除本機主機上的檔案。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21343)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。(CVE-2021-21345)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者佔用會消耗最多 CPU 時間且永遠不會傳回的執行緒。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21348)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控經處理的輸入資料流，從未公開的內部資源要求資料。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。(CVE-2021-21349)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。- 在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控已處理的輸入資料流來執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21350)

  - XStream 是一個 Java 程式庫，可將物件序列化為 XML 並進行反序列化。在 XStream 1.4.16 之前版本中，有一個弱點允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。如果您仰賴 XStream 的安全架構預設封鎖清單，則必須至少使用 1.4.16 版。
    (CVE-2021-21351)

  - XStream 是一個軟體，可將 Java 物件序列化為 XML 並進行反序列化。在 1.4.17 之前的 XStream 版本中有一個弱點，可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。此弱點已在 1.4.17 版中修補。(CVE-2021-29505)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Scientific Linux 7 主機上安裝的套件受到 SLSA-2021: 3956-1 公告。

  - xstream：透過 Xalan xsltc.trax.TemplatesImpl 的不安全還原序列化執行任意程式碼 (CVE-2021-39139，CVE-2021-39153)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39141)

  - xstream：透過 sun.tracing.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39144)

  - xstream：透過 com.sun.jndi.ldap.LdapBindingEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39145，CVE-2021-39151)

  - xstream：透過 javax.swing.UIDefaults 的不安全還原序列化執行任意程式碼$ProxyLazyValue (CVE-2021-39146，CVE-2021-39154)

  - xstream：透過 com.sun.jndi.ldap.LdapSearchEnumeration 的不安全還原序列化執行任意程式碼 (CVE-2021-39147)

  - xstream：透過 com.sun.jndi.toolkit.dir.ContextEnumerator 的不安全還原序列化執行任意程式碼 (CVE-2021-39148)

  - xstream：透過 com.sun.corba.* 的不安全還原序列化執行任意程式碼 (CVE-2021-39149)

  - xstream：透過 com.sun.xml.internal.ws.client.sei.* 的不安全還原序列化完成的伺服器端要求偽造 (SSRF) (CVE-2021-39150)

  - xstream：透過 jdk.nashorn.internal.runtime.Source 的不安全還原序列化完成的伺服器端要求偽造 (SSRF)$URLData (CVE-2021-39152)

  - xstream：透過 sun.reflect.annotation.AnnotationInvocationHandler 的不安全還原序列化形成的無限迴圈 DoS (CVE-2021-39140)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 The remote Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-5946-1 公告中提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

  - XStream 可將 Java 物件序列化為 XML 並進行反序列化。 1.4.20 之前的版本可能讓遠端攻擊者能夠透過堆疊溢位錯誤使應用程式停止運作，導致攻擊者僅透過操控已處理的輸入資料流，便得以發動拒絕服務攻擊。此攻擊使用集合和對應的雜湊碼實作以強制執行遞回雜湊計算，進而造成堆疊溢位。此問題已在 1.4.20 版中修正，當中解決了堆疊溢位問題並改為發起 InputManipulationException。對於只使用 HashMap 或 HashSet 且其 XML 僅將 HashMap 或 HashSet 稱為預設對應或預設集的使用者，可能的因應措施是根據提及的公告中的程式碼範例變更 java.util.Map 和 java.util 的預設實作。但是，這表示您的應用程式並未關注對應的實作，而且所有元素都可比較。(CVE-2022-41966)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 VMware NSX for vSphere (NSX-V) 版本低於 6.4.14。因此，該主機會受到多個弱點影響，包括：

  - 在 VMware Cloud Foundation 中，透過 XStream 開放原始碼庫可以觸發遠端程式碼執行弱點。
    (CVE-2021-39144)   
  - VMware Cloud Foundation 存在 XML 外部實體 (XXE) 弱點。(CVE-2022-31678)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。Nessus 尚未測試是否有因應措施。

遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2021-3956 公告中提及的多個弱點影響。

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。只有在搭配 JDK 1.7u21 或更低版本使用現成版本時，使用者才會受到影響。但是，無論 Java 執行階段是什麼版本，都可以輕鬆地將此情況調整為適用的外部 Xalan。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39139)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者根據 CPU 類型或此類承載的平行執行，在目標系統上配置 100％ CPU 時間，導致僅透過操控已處理的輸入資料流即可引發拒絕服務。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39140)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許遠端攻擊者僅透過使用 Java 執行階段 14 至 8 版操控已處理的輸入資料流，從非公開可用的內部資源要求資料。遵循建議設定 XStream 的安全性架構，並將允許清單限制為所需的最少類型的使用者不受影響。如果您仰賴 XStream 的 [安全性架構](https://x-stream.github.io/security.html#framework) 預設封鎖清單，則必須至少使用 1.4.18 版。(CVE-2021-39150、CVE-2021-39152)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，此弱點可能會允許具有充分權限的遠端攻擊者僅透過操控已處理的輸入資料流來執行主機命令。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39144)

  - XStream 是一個簡易的程式庫，可將物件序列化為 XML 並進行反序列化。在受影響的版本中，如果搭配 Java 執行階段 14 到 8 版本使用現成版本，或安裝 JavaFX 時，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來從遠端主機載入並執行任意程式碼。遵循建議設定 XStream 的安全性架構並將允許清單限定為最低要求類型的使用者皆不會受到影響。XStream 1.4.18 預設不再使用封鎖名單，因為它無法保護一般用途。(CVE-2021-39153)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
153811	Debian DLA-2769-1：libxstream-java - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/10/1	2023/3/10	high
154419	RHEL 7：xstream (RHSA-2021: 3956)	Nessus	Red Hat Local Security Checks	2021/10/26	2024/4/28	high
155989	Amazon Linux 2：xstream (ALAS-2021-1729)	Nessus	Amazon Linux Local Security Checks	2021/12/10	2023/3/10	high
155294	Debian DSA-5004-1：libxstream-java - 安全性更新	Nessus	Debian Local Security Checks	2021/11/12	2023/3/10	critical
154412	Scientific Linux 安全性更新：SL7.x (noarch) 上的 xstream (2021:3956)	Nessus	Scientific Linux Local Security Checks	2021/10/25	2023/3/10	high
172496	Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS：XStream 弱點 (USN-5946-1)	Nessus	Ubuntu Local Security Checks	2023/3/13	2023/10/16	high
166697	VMware NSX for vSphere (NSX-v) < 6.4.14 用戶端多個弱點 (VMSA-2022-0027)	Nessus	Misc.	2022/10/28	2023/3/10	critical
154433	Oracle Linux 7：xstream (ELSA-2021-3956)	Nessus	Oracle Linux Local Security Checks	2021/10/26	2023/3/10	high

偵測

搜尋 Plugin

high

high

high

critical

high

high

critical

high