CVE-2021-43859
Açıklama
XStream, nesneleri XML'e serileştirmek ve tekrar geri dönüştürmek için kullanılan açık kaynaklı bir Java kütüphanesidir. 1.4.19 öncesindeki sürümler, yalnızca işlenen giriş akışını manipüle ederek, CPU türüne veya böyle bir yükün paralel yürütülmesine bağlı olarak uzaktan bir saldırganın hedef sistemde %100 CPU zamanı tahsis etmesine izin verebilir ve bu durum hizmet reddine yol açabilir. XStream 1.4.19, koleksiyonlara öğe eklemek için geçen süreyi izler ve biriktirir; belirlenen eşik değer aşıldığında ise bir istisna fırlatır. Kullanıcıların mümkün olan en kısa sürede yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, özyinelemeyi önlemek için NO_REFERENCE modunu ayarlayabilirler. Yükseltmenin mümkün olmadığı durumlarda geçici çözümle ilgili daha fazla ayrıntı için GHSA-rmr5-cpv2-vgjf adresine bakınız.
Nasıl düzeltilir
- xstream xstream1.4.19 ya da sonraki bir sürüm
- jenkins jenkins2.319.3, 2.334 ya da sonraki bir sürüm
- oracle communications_brm_-_elastic_charging_engine12.0.0.4.6 ya da sonraki bir sürüm
- com.thoughtworks.xstream:xstream1.4.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xstream xstream | v < 1.4.19 | 1.4.19 |
| jenkins jenkins | v < 2.319.3, 2.321 ≤ v < 2.334 | 2.319.3, 2.334 |
| fedoraproject fedora | 34, 35 | — |
| debian debian_linux | 9.0 | — |
| oracle commerce_guided_search | 11.3.2 | — |
| oracle communications_brm_-_elastic_charging_engine | v < 12.0.0.4.6, 12.0.0.5.0 | 12.0.0.4.6 |
| oracle communications_cloud_native_core_automated_test_suite | 1.9.0 | — |
| oracle communications_diameter_intelligence_hub | 8.0.0 ≤ v ≤ 8.1.0, 8.2.0 ≤ v ≤ 8.2.6 | — |
| oracle communications_policy_management | 12.6.0.0.0 | — |
| oracle flexcube_private_banking | 12.1.0 | — |
| oracle retail_xstore_point_of_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2, 20.0.1 | — |
| com.thoughtworks.xstream:xstreamMaven | v < 1.4.19 | 1.4.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.