XStream高危漏洞风险提示

admin 2021年8月6日07:54:09评论65 views字数 692阅读2分18秒阅读模式
XStream高危漏洞风险提示


漏洞公告

近日,安恒应急响应中心监测到XStream官方发布了安全更新公告,修补了一个1.4.16之前版本存在的远程命令执行漏洞,漏洞对应CVE编号:CVE-2021-29505,相关链接参考:

https://x-stream.github.io/CVE-2021-29505.html



根据公告,该漏洞可能允许远程攻击者具有足够的权限,仅通过操纵已处理的输入流即可执行主机的命令,从而获得目标系统管理权限,建议尽快更新到漏洞修复的版本

XStream历史安全公告参考:

https://x-stream.github.io/security.html



影响范围

XStream远程代码执行漏洞主要影响以下版本:

1.4.16之前版本,建议更新到1.4.17以上版本。

下载地址:

http://x-stream.github.io/download.html



漏洞描述


CVE-2021-29505漏洞,根据分析、XStream在解组XML时(包括JSON),存在远程命令执行漏洞,恶意攻击者成功利用该漏洞可以绕过XStream的黑名单,实现反序列化的远程代码执行效果。


缓解措施


高危:目前漏洞细节已经半公开,官方贴出了POC代码,同时恶意攻击者也可以通过补丁对比方式分析出漏洞触发点,并进一步开发出漏洞利用代码,建议及时测试漏洞修复的版本并升级,或采取临时缓解措施加固系统。


缓解措施参考增强安全过滤或白名单:

https://x-stream.github.io/security.html


安恒应急响应中心

2021年05月



本文始发于微信公众号(安恒信息应急响应中心):XStream高危漏洞风险提示

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年8月6日07:54:09
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   XStream高危漏洞风险提示http://cn-sec.com/archives/376305.html

发表评论

匿名网友 填写信息