リモートホストにインストールされているxstreamのバージョンは、1.3.1-13より前です。したがって、ALAS2-2021-1645のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21351)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2: xstream (ALAS-2021-1645)

critical Nessus プラグイン ID 149867

バージョン 1.6