Debian DLA-2924-1: libxstream-java - LTS セキュリティ更新

high Nessus プラグイン ID 158084

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 9 ホストには、dla-2924 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。