漏洞名称：
XStream 拒绝服务漏洞
组件名称：
XStream
影响范围：
XStream ≤ 1.4.19
漏洞类型：
拒绝服务
利用条件：
1、用户认证：不需要权限认证
2、前置条件：默认条件
3、触发方式：远程
综合评价：
<综合评定利用难度>：容易，无需认证即可利用
<综合评定威胁等级>：高危，可导致拒绝服务
官方解决方案：
已发布
漏洞分析
组件介绍
XStream是一个Java类库，用来将对象序列化成XML、JSON或反序列化为对象。XStream是自由软件，可以在BSD许可证的许可下分发。
漏洞简介
2022年12月29日，深信服安全团队监测到一则XStream组件存在拒绝服务漏洞的信息，漏洞编号：CVE-2022-41966，漏洞威胁等级：高危。
该漏洞是由于XStream进行反序列化时，未对输入的数据进行有效的验证。攻击者通过控制传入的序列化数据注入恶意对象，导致Xstream在递归计算hash集时触发堆栈溢出，最终导致拒绝服务。
XStream是较为流行的高性能计算类库，在世界范围内应用十分广泛。可能受漏洞影响的资产广泛分布于世界各地，在国内主要应用于上海、北京、浙江、广东、山东等地区。
目前受影响的XStream版本：
XStream ≤ 1.4.19
解决方案
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://x-stream.github.io/download.html
深信服解决方案
1.安全监测
支持对XStream拒绝服务漏洞(CVE-2022-41966)的监测，可依据流量收集实时监控业务场景中的受影响资产情况，快速检查受影响范围，相关产品及服务如下：
【深信服安全感知管理平台SIP】预计2022年12月30日发布检测方案。
【深信服安全托管服务MSS】预计2022年12月30日发布检测方案。
【深信服安全检测与响应平台XDR】预计2022年12月30日发布检测方案。
2.安全防护
支持对XStream拒绝服务漏洞(CVE-2022-41966)的防御，可阻断攻击者针对该事件的入侵行为，相关产品及服务如下：
【深信服下一代防火墙AF】预计2022年12月30日发布防护方案。
【深信服Web应用防火墙WAF】预计2022年12月30日发布防护方案。
【深信服安全托管服务MSS】预计2022年12月30日发布防护方案。
【深信服安全检测与响应平台XDR】预计2022年12月30日发布防护方案。
参考链接
https://x-stream.github.io/CVE-2022-41966.html
时间轴
2022/12/29
深信服监测到XStream拒绝服务漏洞攻击信息。
2022/12/29
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
原文始发于微信公众号（深信服千里目安全技术中心）：【漏洞通告】XStream拒绝服务漏洞 CVE-2022-41966
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论