CVE-2020-26258
Açıklama
XStream, nesneleri XML formatına serileştirmek ve tekrar geri dönüştürmek için kullanılan bir Java kütüphanesidir. Versiyon 1.4.15 öncesindeki XStream'de, unmarshalling işlemi sırasında bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti tetiklenebilir. Bu zafiyet, uzak bir saldırganın yalnızca işlenen giriş akışını manipüle ederek halka açık olmayan dahili kaynaklardan veri talep etmesine izin verebilir. XStream'in Güvenlik Çerçevesinin varsayılan kara listesine güveniyorsanız, en az versiyon 1.4.15'i kullanmanız gerekir. Bildirilen zafiyet, Java 15 veya daha yüksek bir sürüm çalıştırılıyorsa mevcut değildir. XStream'in Güvenlik Çerçevesini beyaz liste ile kurma önerisini takip eden hiçbir kullanıcı etkilenmemiştir! XStream'in varsayılan kara listesine güvenen herkes, zafiyetten kaçınmak için hemen izin verilen türler için bir beyaz listeye geçiş yapabilir. Hala XStream varsayılan kara listesini kullanmak isteyen XStream 1.4.14 veya altı sürümlerini kullananlar, referans verilen duyurularda daha ayrıntılı açıklanan bir geçici çözüm kullanabilirler.
Nasıl düzeltilir
- xstream xstream1.4.15 ya da sonraki bir sürüm
- apache struts6.0.0 ya da sonraki bir sürüm
- com.thoughtworks.xstream:xstream1.4.15 ya da sonraki bir sürüm
- debian.org/security/2021/dsa-4828
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xstream xstream | v < 1.4.15 | 1.4.15 |
| apache struts | v < 6.0.0 | 6.0.0 |
| debian debian_linux | 9.0, 10.0 | — |
| fedoraproject fedora | 33, 34, 35 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.15 | 1.4.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.