リモートのDebian 10 / 11 ホストには、dsa-5004 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21351)

  - XStreamは、JavaオブジェクトをXMLにシリアル化したり戻したりするためのソフトウェアです。- 1.4.17より前のバージョンのXStreamの脆弱性により、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。この脆弱性は、バージョン1.4.17でパッチが適用されます。(CVE-2021-29505)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。ユーザーが影響を受けるのは、JDK 1.7u21以前の標準装備のバージョンを使用した場合のみです。ただし、このシナリオは、Javaランタイムのバージョンに関係なく動作する外部Xalanに簡単に調整できます。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39139 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により、リモート攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39140 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により十分な権限をもつリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、ホストのコマンドを実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39144 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により、リモート攻撃者が、一般に入手できない内部リソースのデータをリクエストする可能性があります。これはJavaランタイムバージョン14～8の処理済みの入力ストリームを操作する場合のみのことです。最小限必要とされているタイプに制限してあるホワイトリストを持つ、推奨されるXStreamのセキュリティフレームワークの設定に従うユーザーは影響を受けません。XStreamの[セキュリティフレームワーク] (https://x-stream.github.io/security.html#framework) のデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.18を使用する必要があります。(CVE-2021-39150、CVE-2021-39152)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。バージョン14～8またはJavaFXがインストールされている標準装備のJavaランタイムを使用している場合です。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39153 )

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Debian DSA-5004-1 : libxstream-java - セキュリティ更新

critical Nessus プラグイン ID 155294

バージョン 1.7

バージョン 1.6

バージョン 1.5

バージョン 1.4

バージョン 1.7 Mar 10, 2023, 11:54 PM CISA reference CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:H/RL:OF/RC:C". "CVSSv2 temporal vector" set to "CVSS2#E:H/RL:OF/RC:C". "CVSSv2 temporal vector" set to "CVSS2#E:H/RL:OF/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:H/RL:O/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:H/RL:O/RC:C") Plugin Feed: 202303102354
バージョン 1.6 Jan 23, 2023, 4:10 PM Exploit attributes ("Exploit framework core" set to "True") Plugin Feed: 202301231610
バージョン 1.5 Dec 6, 2022, 2:54 AM Reference Plugin Feed: 202212060254
バージョン 1.4 Nov 16, 2022, 9:51 PM Exploit attributes CVSS temporal metrics Plugin Feed: 202211162151