リモートの Scientific Linux 7 ホストのパッケージは、SLSA-2021: 3956-1 アドバイザリに記載されている脆弱性の影響を受けます。

  - xstream：Xalan xsltc.trax.TemplatesImplの安全でない逆シリアル化による任意のコードの実行 (CVE-2021-39139、CVE-2021-39153)

  - xstream：com.sun.xml.internal.ws.client.seiの安全でない逆シリアル化による任意のコードの実行。* (CVE-2021-39141)

  - xstream：sun.tracingの安全でない逆シリアル化による任意のコードの実行。* (CVE-2021-39144)

  - xstream：com.sun.jndi.ldap.LdapBindingEnumerationの安全でない逆シリアル化による任意のコードの実行 (CVE-2021-39145、CVE-2021-39151)

  - xstream：javax.swing.UIDefaultsの安全でない逆シリアル化による任意のコードの実行。* ($ProxyLazyValue、CVE-2021-39146、CVE-2021-39154)

  - xstream：com.sun.jndi.ldap.LdapSearchEnumerationの安全でない逆シリアル化による任意のコードの実行 (CVE-2021-39147)

  - xstream：com.sun.jndi.toolkit.dir.ContextEnumeratorの安全でない逆シリアル化による任意のコードの実行 (CVE-2021-39148)

  - xstream：com.sun.corbaの安全でない逆シリアル化による任意のコードの実行。* (CVE-2021-39149)

  - xstream：com.sun.xml.internal.ws.client.sei の安全でない逆シリアル化によるサーバー側のリクエスト偽造 (SSRF)。* (CVE-2021-39150)

  - xstream：jdk.nashorn.internal.runtime.Source $URLData の安全でない逆シリアル化によるサーバー側のリクエスト偽造 (SSRF)。* (CVE-2021-39152)

  - xstream：sun.reflect.annotation.AnnotationInvocationHandlerの安全でない逆シリアル化による無限ループDoS (CVE-2021-39140)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Scientific Linux セキュリティ更新: SL7.x の xstream (noarch) (2021:3956)

high Nessus プラグイン ID 154412

バージョン 1.3