リモートの CentOS Linux 7 ホストに、RHSA-2021:1354 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1840-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21351)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているxstreamのバージョンは、1.3.1-13より前です。したがって、ALAS2-2021-1645のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21351)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのOracle Linux 7ホストに、ELSA-2021-1354アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    （CVE-2021-21350）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。（CVE-2021-21345）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このxstream用の更新プログラムでは、次の問題が修正されています:

  - 1.4.16 にアップグレードします

  - CVE-2021-21351: リモートの攻撃者が任意のコードを読み込み実行する可能性があります (bsc#1184796)

  - CVE-2021-21349: SSRF により、リモートの攻撃者が内部リソースからデータをリクエストする可能性があります (bsc#1184797)

  - CVE-2021-21350: 任意のコードの実行 (bsc#1184380)

  - CVE-2021-21348: リモートの攻撃者が、最大の CPU 時間を消費することでサービス拒否を引き起こす可能性があります (bsc#1184374)

  - CVE-2021-21347: リモートの攻撃者がリモートホストから任意のコードを読み込み実行する可能性があります (bsc#1184378)

  - CVE-2021-21344: リモートの攻撃者がリモートホストから任意のコードを読み込み実行する可能性がありました (bsc#1184375)

  - CVE-2021-21342: サーバーサイド偽造 (bsc#1184379)

  - CVE-2021-21341: リモートの攻撃者が、100% の CPU 時間を割り当てることでサービス拒否を引き起こす可能性があります (bsc#1184377)

  - CVE-2021-21346: リモートの攻撃者が任意のコードを読み込み実行する可能性があります (bsc#1184373)

  - CVE-2021-21345: 十分な権限を持つリモートの攻撃者が、コマンドを実行する可能性があります (bsc#1184372)

  - CVE-2021-21343: ローカルホスト上のファイルの削除を引き起こすオブジェクトの置換または注入 (bsc#1184376)

この更新はSUSEからインポートされました: SLE-15-SP2: 更新プロジェクトを更新します。

リモートのUbuntu 18.04 LTS/20.04 LTS/20.10 /21.04ホストには、USN-4943-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。(CVE-2020-26217) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15以前のXStreamでは、サーバーサイド偽造リクエストの脆弱性が、マーシャリング解除時にアクティブ化される可能性があります。この脆弱性により、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26258) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15より前のXStreamでは、アンマーシャリング時にローカルホストでの任意のファイルの削除に対して脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26259) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStream は、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用して XStream のセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21351)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS ホストには、USN-6978-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    XStream が細工された特定の XML ドキュメントの解析を誤って処理することがわかりました。リモートの攻撃者が、この問題を利用して、任意のファイルを読み取る可能性があります。(CVE-2016-3674)

    Zhihong Tian 氏と Hui Lu 氏は、XStream がリモートコード実行に脆弱であることを発見しました。リモート攻撃者が処理済みの入力ストリームを操作して、任意のシェルコマンドを実行する可能性があります。(CVE-2020-26217)

    XStream がサーバー側の偽造攻撃に対して脆弱であることが判明しました。リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。(CVE-2020-26258)

    XStream が、ローカルホスト上の任意のファイルの削除に対して脆弱であることが判明しました。リモートの攻撃者は実行プロセスに十分な権限があるためこれを利用し、処理済みの入力ストリームを操作することのみにより、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。(CVE-2020-26259)

    XStream は、サービス拒否、任意のコードの実行、任意のファイルの削除、サーバー側の偽造攻撃に対して脆弱であることが判明しました。リモートの攻撃者が、処理済みの入力ストリームを操作することで、これらの問題を引き起こす可能性があります。(CVE-2021-21341、CVE-2021-21342、CVE-2021-21343、CVE-2021-21344、CVE-2021-21345、CVE-2021-21346、CVE-2021-21347、CVE-2021-21348、CVE-2021-21349、CVE-2021-21350、CVE-2021-21351)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 10 / 11 ホストには、dsa-5004 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamでは、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21351)

  - XStreamは、JavaオブジェクトをXMLにシリアル化したり戻したりするためのソフトウェアです。- 1.4.17より前のバージョンのXStreamの脆弱性により、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。この脆弱性は、バージョン1.4.17でパッチが適用されます。(CVE-2021-29505)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。ユーザーが影響を受けるのは、JDK 1.7u21以前の標準装備のバージョンを使用した場合のみです。ただし、このシナリオは、Javaランタイムのバージョンに関係なく動作する外部Xalanに簡単に調整できます。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39139 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により、リモート攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39140 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39141、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39154 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により十分な権限をもつリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、ホストのコマンドを実行する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39144 )

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性により、リモート攻撃者が、一般に入手できない内部リソースのデータをリクエストする可能性があります。これはJavaランタイムバージョン14～8の処理済みの入力ストリームを操作する場合のみのことです。最小限必要とされているタイプに制限してあるホワイトリストを持つ、推奨されるXStreamのセキュリティフレームワークの設定に従うユーザーは影響を受けません。XStreamの[セキュリティフレームワーク] (https://x-stream.github.io/security.html#framework) のデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.18を使用する必要があります。(CVE-2021-39150、CVE-2021-39152)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのシンプルなライブラリです。影響を受けるバージョンでは、この脆弱性によりリモート攻撃者が、処理済みの入力ストリームを操作する場合に限り、リモートホストから任意のコードを読み込み実行する可能性があります。バージョン14～8またはJavaFXがインストールされている標準装備のJavaランタイムを使用している場合です。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream 1.4.18は、汎用目的で保護できないため、デフォルトでブラックリストを使用しなくなりました。 (CVE-2021-39153 )

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートホストにインストールされているOracle WebCenter Portalのバージョンには、2021年7月のCritical Patch Update（CPU）からのセキュリティパッチがありません。このため、以下の脆弱性の影響を受けます。

  - Oracle Fusion MiddlewareのOracle WebCenter Portal製品の脆弱性（コンポーネント：セキュリティフレームワーク（Bouncy Castle Java Library））。サポートされているバージョンで影響を受けるのは、11.1.1.9.0、12.2.1.3.0、12.2.1.4.0です。容易に悪用できる脆弱性があり、認証されていない攻撃者がHTTPSを介してネットワークにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebCenter Portalの乗っ取りが発生する可能性があります（CVE-2020-28052）。

  - Oracle Fusion MiddlewareのOracle WebCenter Portal製品の脆弱性（コンポーネント：セキュリティフレームワーク（XStream））。サポートされているバージョンで影響を受けるのは、11.1.1.9.0、12.2.1.3.0、12.2.1.4.0です。容易に悪用できる脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、WebCenter Portalを侵害する可能性があります。この脆弱性がOracle WebCenter Portalに存在する間は、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebCenter Portalの乗っ取りが発生する可能性があります（CVE-2021-21345）。

Nessusはこれらの問題を悪用したことはありませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Enterprise Manager Ops Center の 12.4.0.0 バージョンは、2021 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Enterprise Manager の Enterprise Manager Ops Center 製品における脆弱性 (コンポーネント: Guest Management (XStream))。サポートされているバージョンで影響を受けるのは 12.4.0.0 です。容易に悪用可能な脆弱性により、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Ops Center を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Enterprise Manager Ops Center の乗っ取りが発生する可能性があります。(CVE-2021-29505)

  - Oracle Enterprise Manager Ops Center の Enterprise Manager Ops Center 製品における脆弱性 (コンポーネント: Common Core (XStream))。サポートされているバージョンで影響を受けるのは 12.4.0.0 です。容易に悪用可能な脆弱性により、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Ops Center を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Enterprise Manager Ops Center の乗っ取りが発生する可能性があります。(CVE-2021-21345) 

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021: 1354のアドバイザリ記載された複数の脆弱性の影響を受けます。

  - XStream：javax.sql.rowset.BaseRowSetの安全でない逆シリアル化（CVE-2021-21344）

  - XStream：com.sun.corba.se.impl.activation.ServerTableEntryの安全でない逆シリアル化（CVE-2021-21345）

  - XStream：sun.swing.SwingLazyValueの安全でない逆シリアル化（CVE-2021-21346）

  - XStream：com.sun.tools.javac.processing.JavacProcessingEnvironment NameProcessIteratorの安全でない逆シリアル化（CVE-2021-21347）

  - XStream：com.sun.org.apache.bcel.internal.util.ClassLoaderの安全でない逆シリアル化（CVE-2021-21350）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

XStream には、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。

java.io.InputStream、java.nio.channels.Channel、javax.activation.DataSource および javax.sql.rowsel.BaseRowSet のタイプ階層が、個々のタイプの com.sun.corba.se.impl.activation.ServerTableEntry、com.sun.tools.javac.processing.JavacProcessingEnvironment$NameProcessI terator, sun.awt.datatransfer.DataTransferer$IndexOrderComparator、および sun.swing.SwingLazyValue とともにブラックリストに追加されました。さらに、JAXB の内部型 Accessor $GetterSetterReflection、JAX-WS の内部型 MethodGetter $PrivilegedGetter および ServiceFinder $ServiceNameIterator、プライベート BCEL コピーで使用される javafx.collections.ObservableList のすべての内部クラス、および内部 ClassLoader がデフォルトの一部になりました。ブラックリストおよびいずれかのタイプを含む XML の逆シリアル化が失敗します。これらのタイプが必要な場合は、明示的な構成で有効にする必要があります。

Debian 9 stretch では、これらの問題はバージョン 1.4.11.1-1+deb9u2 で修正されています。

お使いの libxstream-java パッケージをアップグレードすることを推奨します。

libxstream-javaの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/libxstream-java

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
149208	CentOS 7：xstream（RHSA-2021:1354）	Nessus	CentOS Local Security Checks	2021/4/30	2024/10/9	critical
151746	openSUSE 15 セキュリティ更新 : xstream (openSUSE-SU-2021:1840-1)	Nessus	SuSE Local Security Checks	2021/7/16	2023/12/8	critical
149867	Amazon Linux 2: xstream (ALAS-2021-1645)	Nessus	Amazon Linux Local Security Checks	2021/5/24	2024/12/11	critical
149000	Oracle Linux 7：xstream（ELSA-2021-1354）	Nessus	Oracle Linux Local Security Checks	2021/4/27	2024/11/1	critical
150248	openSUSEセキュリティ更新プログラム: xstream(openSUSE-2021-832)	Nessus	SuSE Local Security Checks	2021/6/4	2023/12/27	critical
149408	Ubuntu 18.04 LTS / 20.04 LTS : XStream の脆弱性 (USN-4943-1)	Nessus	Ubuntu Local Security Checks	2021/5/12	2024/8/27	critical
206123	Ubuntu 14.04 LTS / 16.04 LTS : XStream の脆弱性 (USN-6978-1)	Nessus	Ubuntu Local Security Checks	2024/8/22	2024/8/27	critical
155294	Debian DSA-5004-1 : libxstream-java - セキュリティ更新	Nessus	Debian Local Security Checks	2021/11/12	2025/1/24	critical
152030	Oracle WebCenter Portalの複数の脆弱性（2021年7月CPU）	Nessus	Misc.	2021/7/23	2023/12/6	critical
170201	Oracle Enterprise Manager Ops Center の UI およびその他のパッチ (2021 年 10 月 CPU)	Nessus	Misc.	2023/1/20	2023/9/7	critical
148982	RHEL 7：xstream（RHSA-2021：1354)	Nessus	Red Hat Local Security Checks	2021/4/26	2024/11/7	critical
148312	DebianDLA-2616-1：libxstream-java セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/5	2024/1/16	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical