CVE-2021-21342
Açıklama
XStream, nesneleri XML formatına serileştirmek ve tekrar geri dönüştürmek için kullanılan bir Java kütüphanesidir. Versiyon 1.4.16 öncesindeki XStream'de, unmarshalling sırasında işlenen akışın, daha önce yazılmış nesneleri yeniden oluşturmak için tip bilgileri içerdiği bir güvenlik açığı bulunmaktadır. Bu nedenle XStream, bu tip bilgilerine dayanarak yeni örnekler oluşturur. Bir saldırgan, işlenen giriş akışını manipüle ederek nesneleri değiştirebilir veya enjekte edebilir; bu durum sunucu tarafında sahte bir istekle sonuçlanır. XStream'in güvenlik çerçevesini yalnızca gerekli minimum tiplerle sınırlı bir beyaz liste ile kurma önerisini takip eden kullanıcılar etkilenmez. Güvenlik Çerçevesinin varsayılan kara listesine güveniyorsanız, en az versiyon 1.4.16'yı kullanmanız gerekmektedir.
Nasıl düzeltilir
- xstream xstream1.4.16 ya da sonraki bir sürüm
- apache activemq5.15.14 ya da sonraki bir sürüm
- apache jmeter5.5 ya da sonraki bir sürüm
- com.thoughtworks.xstream:xstream1.4.16 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/
- debian.org/security/2021/dsa-5004
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xstream xstream | v < 1.4.16 | 1.4.16 |
| netapp oncommand_insight | Aralık belirtilmemiş | — |
| apache activemq | v < 5.15.14, 5.16.0, 5.16.1 | 5.15.14 |
| apache jmeter | v < 5.5 | 5.5 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| fedoraproject fedora | 33, 34, 35 | — |
| oracle banking_enterprise_default_management | 2.10.0, 2.12.0 | — |
| oracle banking_platform | 2.4.0, 2.7.1, 2.9.0, 2.12.0 | — |
| oracle banking_virtual_account_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle business_activity_monitoring | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_brm_-_elastic_charging_engine | 12.0.0.3 | — |
| oracle communications_policy_management | 12.5.0 | — |
| oracle communications_unified_inventory_management | 7.3.2, 7.3.4, 7.3.5, 7.4.0, 7.4.1 | — |
| oracle retail_xstore_point_of_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2 | — |
| oracle webcenter_portal | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.16 | 1.4.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.