Xstream API < 1.4.10 不安全的XML反序列化导致远程代码执行

admin

0
文章

0
评论

2023-11-25 01:31:16 Ali_highrisk 来源：ZONE.CI 全球网 0 阅读模式

严重 Xstream API < 1.4.10 不安全的XML反序列化导致远程代码执行

CVE编号

CVE-2013-7285

利用情况

漏洞武器化

补丁情况

官方补丁

披露时间

2019-05-16

漏洞描述

Xstream API versions up to 1.4.6 and version 1.4.10, if the security framework has not been initialized, may allow a remote attacker to run arbitrary shell commands by manipulating the processed input stream when unmarshaling XML or any supported format. e.g. JSON.

解决建议

升级Xstream至1.4.10。

参考链接
http://blog.diniscruz.com/2013/12/xstream-remote-code-execution-exploit.html
http://seclists.org/oss-sec/2014/q1/69
http://web.archive.org/web/20140204133306/http://blog.diniscruz.com/2013/12/x...
https://lists.apache.org/thread.html/6d3d34adcf3dfc48e36342aa1f18ce3c20bb8e4c...
https://lists.apache.org/thread.html/dcf8599b80e43a6b60482607adb76c64672772dc...
https://www.mail-archive.com/user%40xstream.codehaus.org/msg00604.html
https://www.mail-archive.com/user%40xstream.codehaus.org/msg00607.html
https://www.oracle.com/security-alerts/cpuoct2020.html
https://x-stream.github.io/CVE-2013-7285.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	xstream_project	xstream	*		Up to (including) 1.4.6
	运行在以下环境
	应用	xstream_project	xstream	1.4.10	-
	运行在以下环境
	系统	debian_10	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	debian_11	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	debian_12	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	debian_sid	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	redhat_6	libvirt	*		Up to (excluding) 0:0.10.2-29.el6_5.11
	运行在以下环境
	系统	ubuntu_14.04	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_14.04.6_lts	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_16.04	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_16.04.7_lts	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_18.04	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_18.04.5_lts	libxstream-java	*		Up to (excluding) 1.4.7-1
	运行在以下环境
	系统	ubuntu_18.10	libxstream-java	*		Up to (excluding) 1.4.7-1

攻击路径远程
攻击复杂度容易
权限要求无需权限
影响范围全局影响
EXP成熟度漏洞武器化
补丁情况官方补丁
数据保密性数据泄露
数据完整性传输被破坏
服务器危害服务器失陷
全网数量 N/A

CWE-ID	漏洞类型
CWE-77	在命令中使用的特殊元素转义处理不恰当（命令注入）
CWE-78	OS命令中使用的特殊元素转义处理不恰当（OS命令注入）