【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

admin 2022年12月30日10:12:27安全漏洞评论17 views1230字阅读4分6秒阅读模式
【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966


漏洞名称:

XStream 拒绝服务漏洞

组件名称:

XStream

影响范围

XStream ≤ 1.4.19

漏洞类型:

拒绝服务

利用条件:

1、用户认证:不需要权限认证

2、前置条件:默认条件

3、触发方式:远程

综合评价:

<综合评定利用难度>:容易,无需认证即可利用

<综合评定威胁等级>:高危,可导致拒绝服务

官方解决方案:

已发布


漏洞分析

【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

组件介绍

XStream是一个Java类库,用来将对象序列化成XML、JSON或反序列化为对象。XStream是自由软件,可以在BSD许可证的许可下分发。

【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

漏洞简介

2022年12月29日,深信服安全团队监测到一则XStream组件存在拒绝服务漏洞的信息,漏洞编号:CVE-2022-41966,漏洞威胁等级:高危。


该漏洞是由于XStream进行反序列化时,未对输入的数据进行有效的验证。攻击者通过控制传入的序列化数据注入恶意对象,导致Xstream在递归计算hash集时触发堆栈溢出,最终导致拒绝服务。

影响范围

XStream是较为流行的高性能计算类库,在世界范围内应用十分广泛。可能受漏洞影响的资产广泛分布于世界各地,在国内主要应用于上海、北京、浙江、广东、山东等地区。


目前受影响的XStream版本:

XStream ≤ 1.4.19

解决方案

【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://x-stream.github.io/download.html


【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

深信服解决方案

1.安全监测

支持对XStream拒绝服务漏洞(CVE-2022-41966)的监测,可依据流量收集实时监控业务场景中的受影响资产情况,快速检查受影响范围,相关产品及服务如下:

【深信服安全感知管理平台SIP】预计2022年12月30日发布检测方案。

【深信服安全托管服务MSS】预计2022年12月30日发布检测方案。

【深信服安全检测与响应平台XDR】预计2022年12月30日发布检测方案。


2.安全防护
支持对XStream拒绝服务漏洞(CVE-2022-41966)的防御,可阻断攻击者针对该事件的入侵行为,相关产品及服务如下:

【深信服下一代防火墙AF】预计2022年12月30日发布防护方案。

【深信服Web应用防火墙WAF】预计2022年12月30日发布防护方案。

【深信服安全托管服务MSS】预计2022年12月30日发布防护方案。

【深信服安全检测与响应平台XDR】预计2022年12月30日发布防护方案。


参考链接

https://x-stream.github.io/CVE-2022-41966.html

时间轴


2022/12/29

深信服监测到XStream拒绝服务漏洞攻击信息。

2022/12/29

深信服千里目安全技术中心发布漏洞通告。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966


【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966



原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月30日10:12:27
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966 https://cn-sec.com/archives/1488187.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: