CVE-2020-26217
Yüksek
Açıklama
1.4.14 sürümü öncesindeki XStream, Uzaktan Kod Çalıştırma zafiyetine sahiptir. Zafiyet, uzak bir saldırganın yalnızca işlenen giriş akışını manipüle ederek rastgele kabuk komutları çalıştırmasına izin verebilir. Yalnızca engelleme listelerine (blocklist) güvenen kullanıcılar etkilenmektedir. XStream'in Güvenlik Çerçevesi izin listesini (allowlist) kullananlar etkilenmez. Bağlantılı danışmanlık bildirimi, yükseltme yapamayan kullanıcılar için kod düzeyinde geçici çözümler sunmaktadır. Sorun 1.4.14 sürümünde giderilmiştir.
ÖnemYüksek
CVSS8.0
İstismar olasılığı—
Ürün
Xstream
Yayın16 Kas 2020
İlk görülme16 Kas 2020
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- xstream xstream1.4.14 ya da sonraki bir sürüm
- apache activemq5.15.14 ya da sonraki bir sürüm
- com.thoughtworks.xstream:xstream1.4.14-java7 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xstream xstream | v < 1.4.14 | 1.4.14 |
| debian debian_linux | 9.0, 10.0 | — |
| netapp snapmanager | Aralık belirtilmemiş | — |
| apache activemq | v < 5.15.14, 5.16.0 | 5.15.14 |
| oracle banking_cash_management | 14.2, 14.3, 14.5 | — |
| oracle banking_corporate_lending_process_management | 14.2, 14.3, 14.5 | — |
| oracle banking_credit_facilities_process_management | 14.2, 14.3, 14.5 | — |
| oracle banking_platform | 2.4.0, 2.7.1, 2.9.0 | — |
| oracle banking_supply_chain_finance | 14.2, 14.3, 14.5 | — |
| oracle banking_trade_finance_process_management | 14.2, 14.3, 14.5 | — |
| oracle banking_virtual_account_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle business_activity_monitoring | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_policy_management | 12.5.0 | — |
| oracle endeca_information_discovery_studio | 3.2.0.0 | — |
| oracle retail_xstore_point_of_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.14-java7 | 1.4.14-java7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.