受影响的版本
如果使用开箱即用的版本，则直到及包括1.4.13版的所有版本均会受到影响。没有用户受到影响，他们遵循该建议以白名单设置XStream的安全框架。
描述
在解组时处理的流包含类型信息，以重新创建以前写入的对象。因此，XStream基于这些类型信息创建新的实例。攻击者可以操纵已处理的输入流，并替换或注入可以执行任意shell命令的对象。
此问题是CVE-2013-7285的变体，这次使用的是Java运行时环境的不同类集，这些类都不是XStream默认黑名单的一部分。已经在CVE-2017-9805中针对Strut的XStream插件报告了相同的问题，但是XStream项目从未得到有关此问题的通知。
https://x-stream.github.io/CVE-2020-26217.html
本文始发于微信公众号（KhanTeam）：XStream远程执行代码CVE-2020-26217
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论