CVE-2021-21349
Təsvir
XStream obyektləri XML formatına seriyallaşdırmaq və əksini etmək üçün istifadə olunan bir Java kitabxanasıdır. XStream-in 1.4.16 versiyasından əvvəlki versiyalarında, uzaqdakı hücumçunun yalnız emal edilən giriş axınını manipulyasiya etməklə, publicly əlçatan olmayan daxili resurslardan məlumat tələb etməsinə imkan verən zəiflik mövcuddur. Təhlükəsizlik çərçivəsini (security framework) yalnız minimum tələb olunan tiplərlə məhdudlaşdırılmış ağ siyahı (whitelist) ilə qurmaq tövsiyəsinə əməl edən istifadəçilərə təsir göstərmir. Əgər siz Təhlükəsizlik Çərçivəsinin standart qara siyahısından (blacklist) asılısınızsa, ən azı 1.4.16 versiyasını istifadə etməlisiniz.
Necə düzəltmək olar
- xstream xstream1.4.16 və ya daha yeni versiya
- apache activemq5.15.14 və ya daha yeni versiya
- apache jmeter5.5 və ya daha yeni versiya
- com.thoughtworks.xstream:xstream1.4.16 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/
- debian.org/security/2021/dsa-5004
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xstream xstream | v < 1.4.16 | 1.4.16 |
| netapp oncommand_insight | Aralıq göstərilməyib | — |
| apache activemq | v < 5.15.14, 5.16.0, 5.16.1 | 5.15.14 |
| apache jmeter | v < 5.5 | 5.5 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| fedoraproject fedora | 33, 34, 35 | — |
| oracle banking_enterprise_default_management | 2.10.0, 2.12.0 | — |
| oracle banking_platform | 2.4.0, 2.7.1, 2.9.0, 2.12.0 | — |
| oracle banking_virtual_account_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle business_activity_monitoring | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_billing_and_revenue_management_elastic_charging_engine | 12.0.0.3.0 | — |
| oracle communications_policy_management | 12.5.0 | — |
| oracle communications_unified_inventory_management | 7.3.2, 7.3.4, 7.3.5, 7.4.0, 7.4.1 | — |
| oracle graalvm | 20.3.4, 21.3.0 | — |
| oracle java_se | 7u321, 8u311 | — |
| oracle retail_xstore_point_of_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2 | — |
| oracle webcenter_portal | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.16 | 1.4.16 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.