漏洞公告
近日，安恒应急响应中心监测到XStream官方发布了安全更新公告，修补了一个1.4.16之前版本存在的远程命令执行漏洞，漏洞对应CVE编号：CVE-2021-29505，相关链接参考：
https://x-stream.github.io/CVE-2021-29505.html
根据公告，该漏洞可能允许远程攻击者具有足够的权限，仅通过操纵已处理的输入流即可执行主机的命令，从而获得目标系统管理权限，建议尽快更新到漏洞修复的版本。
XStream历史安全公告参考：
https://x-stream.github.io/security.html
一
影响范围
XStream远程代码执行漏洞主要影响以下版本：
1.4.16之前版本，建议更新到1.4.17以上版本。
下载地址：
http://x-stream.github.io/download.html
二
漏洞描述
CVE-2021-29505漏洞，根据分析、XStream在解组XML时（包括JSON），存在远程命令执行漏洞，恶意攻击者成功利用该漏洞可以绕过XStream的黑名单，实现反序列化的远程代码执行效果。
三
缓解措施
高危：目前漏洞细节已经半公开，官方贴出了POC代码，同时恶意攻击者也可以通过补丁对比方式分析出漏洞触发点，并进一步开发出漏洞利用代码，建议及时测试漏洞修复的版本并升级，或采取临时缓解措施加固系统。
缓解措施参考增强安全过滤或白名单：
https://x-stream.github.io/security.html
安恒应急响应中心
2021年05月
本文始发于微信公众号（安恒信息应急响应中心）：XStream高危漏洞风险提示
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论