XStream 操作系统命令注入漏洞
| CNNVD-ID编号 | CNNVD-202011-1441 | CVE编号 | CVE-2020-26217 |
| 发布时间 | 2020-11-16 | 更新时间 | 2021-01-22 |
| 漏洞类型 | 操作系统命令注入 | 漏洞来源 | N/A |
| 危险等级 | 高危 | 威胁类型 | 远程 |
| 厂商 | N/A | ||
漏洞介绍
XStream是XStream团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
XStream 1.4.14之前版本存在安全漏洞，该漏洞源于容易受到远程代码执行的攻击。攻击者可利用该漏洞仅通过操纵已处理的输入流来运行任意shell命令。只有依赖黑名单的用户才会受到影响。
漏洞补丁
目前厂商已发布升级了XStream 操作系统命令注入漏洞的补丁，XStream 操作系统命令注入漏洞的补丁获取链接：
https://x-stream.github.io/CVE-2020-26217.html
参考网址
来源:CONFIRM
链接：https://github.com/x-stream/xstream/commit/0fec095d534126931c99fd38e9c6d41f5c685c1a
来源:MLIST
链接：https://lists.debian.org/debian-lts-announce/2020/12/msg00001.html
来源:MLIST
来源:MLIST
来源:MLIST
来源:DEBIAN
链接：https://www.debian.org/security/2020/dsa-4811
来源:CONFIRM
链接：https://x-stream.github.io/CVE-2020-26217.html
来源:CONFIRM
链接：https://github.com/x-stream/xstream/security/advisories/GHSA-mw36-7c6c-q4q2
来源:www.ibm.com
来源:www.auscert.org.au
链接：https://www.auscert.org.au/bulletins/ESB-2021.0131/
来源:nvd.nist.gov
链接：https://nvd.nist.gov/vuln/detail/CVE-2020-26217
来源:www.auscert.org.au
链接：https://www.auscert.org.au/bulletins/ESB-2021.0210/
来源:www.auscert.org.au
链接：https://www.auscert.org.au/bulletins/ESB-2021.0254/
来源:packetstormsecurity.com
链接：https://packetstormsecurity.com/files/160941/Red-Hat-Security-Advisory-2021-0105-01.html
来源:packetstormsecurity.com
链接：https://packetstormsecurity.com/files/160990/Red-Hat-Security-Advisory-2021-0162-01.html
来源:vigilance.fr
链接：https://vigilance.fr/vulnerability/XStream-code-execution-via-Input-Stream-34006
来源:www.auscert.org.au
链接：https://www.auscert.org.au/bulletins/ESB-2020.4430/
受影响实体
暂无
信息来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202011-1441
评论