リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021：3956のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - xstream：Xalan xsltc.trax.TemplatesImplの安全でない逆シリアル化による任意のコードの実行（CVE-2021-39139、CVE-2021-39153）

  - xstream：sun.reflect.annotation.AnnotationInvocationHandlerの安全でない逆シリアル化による無限ループDoS（CVE-2021-39140）

  - xstream：com.sun.xml.internal.ws.client.seiの安全でない逆シリアル化による任意のコードの実行。*（CVE-2021-39141）

  - xstream：sun.tracingの安全でない逆シリアル化による任意のコードの実行。*（CVE-2021-39144）

  - xstream：com.sun.jndi.ldap.LdapBindingEnumerationの安全でない逆シリアル化による任意のコードの実行（CVE-2021-39145、CVE-2021-39151）

  - xstream：javax.swing.UIDefaultsの安全でない逆シリアル化による任意のコードの実行。*（$ProxyLazyValue、CVE-2021-39146、CVE-2021-39154）

  - xstream：com.sun.jndi.ldap.LdapSearchEnumerationの安全でない逆シリアル化による任意のコードの実行（CVE-2021-39147）

  - xstream：com.sun.jndi.toolkit.dir.ContextEnumeratorの安全でない逆シリアル化による任意のコードの実行（CVE-2021-39148）

  - xstream：com.sun.corbaの安全でない逆シリアル化による任意のコードの実行。*（CVE-2021-39149）

  - xstream：com.sun.xml.internal.ws.client.seiの安全でない逆シリアル化によるサーバー側のリクエスト偽造（SSRF）。*（CVE-2021-39150）

  - xstream：jdk.nashorn.internal.runtime.Source$URLDataの安全でない逆シリアル化によるサーバー側のリクエスト偽造（SSRF）。*（CVE-2021-39152）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7：xstream（RHSA-2021：3956)

high Nessus プラグイン ID 154419

バージョン 1.11