CVE-2021-21348
Açıklama
XStream, nesneleri XML formatına serileştirmek ve tekrar geri dönüştürmek için kullanılan bir Java kütüphanesidir. Versiyon 1.4.16 öncesindeki XStream'de, uzaktaki bir saldırganın maksimum CPU zamanını tüketen ve asla geri dönmeyecek bir iş parçacığını (thread) meşgul etmesine izin verebilecek bir güvenlik açığı bulunmaktadır. XStream'in güvenlik çerçevesini yalnızca gerekli minimum türlerle sınırlı bir beyaz liste ile kurma önerisini takip eden kullanıcılar etkilenmemektedir. Güvenlik Çerçevesinin varsayılan kara listesine güveniyorsanız, en az versiyon 1.4.16'yı kullanmanız gerekmektedir.
Nasıl düzeltilir
- xstream xstream1.4.16 ya da sonraki bir sürüm
- apache activemq5.15.14 ya da sonraki bir sürüm
- apache jmeter5.5 ya da sonraki bir sürüm
- com.thoughtworks.xstream:xstream1.4.16 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/
- debian.org/security/2021/dsa-5004
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xstream xstream | v < 1.4.16 | 1.4.16 |
| netapp oncommand_insight | Aralık belirtilmemiş | — |
| apache activemq | v < 5.15.14, 5.16.0, 5.16.1 | 5.15.14 |
| apache jmeter | v < 5.5 | 5.5 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| fedoraproject fedora | 33, 34, 35 | — |
| oracle banking_enterprise_default_management | 2.10.0, 2.12.0 | — |
| oracle banking_platform | 2.4.0, 2.7.1, 2.9.0, 2.12.0 | — |
| oracle banking_virtual_account_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle business_activity_monitoring | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_billing_and_revenue_management_elastic_charging_engine | 12.0.0.3.0 | — |
| oracle communications_policy_management | 12.5.0 | — |
| oracle communications_unified_inventory_management | 7.3.2, 7.3.4, 7.3.5, 7.4.0, 7.4.1 | — |
| oracle mysql_server | v ≤ 8.0.27 | — |
| oracle retail_xstore_point_of_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2 | — |
| oracle webcenter_portal | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.16 | 1.4.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.