It was discovered that XStream, a Java library to serialise objects to XML and back again, was suspectible to denial of service during unmarshalling.

It was discovered that there was a remote application crash vulnerability in libxstream-java, a Java library to serialize objects to XML and back again. This was due to mishandled attempts to create an instance of the primitive type 'void' during unmarshalling.

For Debian 7 'Wheezy', this issue has been fixed in libxstream-java version 1.4.2-1+deb7u2.

We recommend that you upgrade your libxstream-java packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its self-reported version number, the version of JFrog Artifactory installed on the remote host is prior to 7.10.1. It is, therefore, affected by multiple vulnerabilities:

  - Xstream API versions up to 1.4.6 and version 1.4.10, if the security framework has not been initialized, may     allow a remote attacker to run arbitrary shell commands by manipulating the processed input stream when     unmarshaling XML or any supported format. e.g. JSON. (CVE-2013-7285)

  - Multiple XML external entity (XXE) vulnerabilities in the Dom4JDriver, DomDriver, JDomDriver, JDom2Driver, SjsxpDriver,     StandardStaxDriver, and WstxDriver drivers in XStream before 1.4.9 allow remote attackers to read arbitrary files     via a crafted XML document. (CVE-2016-3674)

  - XStream through 1.4.9, when a certain denyTypes workaround is not used, mishandles attempts to create an instance     of the primitive type 'void' during unmarshalling, leading to a remote application crash, as demonstrated by     an xstream.fromXML call. (CVE-2017-7957)

  - The file name encoding algorithm used internally in Apache Commons Compress 1.15 to 1.18 can get into an infinite     loop when faced with specially crafted inputs. This can lead to a denial of service attack if an attacker can choose     the file names inside of an archive created by Compress. (CVE-2019-12402)

  - The OpenID client application in Atlassian Crowd before version 3.6.2, and from version 3.7.0 before 3.7.1     allows remote attackers to perform a Denial of Service attack via an XML Entity Expansion vulnerability. (CVE-2019-20104)

  - Go before 1.13.13 and 1.14.x before 1.14.5 has a data race in some net/http servers, as demonstrated by the     httputil.ReverseProxy Handler, because it reads a request body and writes a response at the same time. (CVE-2020-15586)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

發現進行物件與 XML 序列化與反序列化的 Java 程式庫 XStream，容易在解除封送時受到拒絕服務擊。

已发现用于将对象序列化为 XML 和反序列化的 Java 库 libxstream-java 中存在一个远程应用程序崩溃漏洞。这是由于在解组期间尝试创建原始类型“void”实例的处理不当所致。对于 Debian 7“Wheezy”，此问题已在 libxstream-java 版本 1.4.2-1+deb7u2 中修复。建议您升级 libxstream-java 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据其自我报告的版本号，远程主机上安装的 JFrog Artifactory 版本低于 7.10.1。因此，该应用程序受到多个漏洞的影响：

  - 如果安全框架未初始化，1.4.6 及之前的 Xstream API 版本和版本 1.4.10 可能允许远程攻击者在解组 XML 或任何受支持的格式（例如 JSON）时，通过操纵经过处理的输入流来运行任意 shell 命令。(CVE-2013-7285)

  - 在 1.4.9 之前的 Xstream 中，Dom4JDriver、DomDriver、JDomDriver、JDom2Driver、SjsxpDriver、StandardStaxDriver 和 WstxDriver 驱动器中存在多个 XML 外部实体 (XXE) 漏洞，允许远程攻击者通过构建的 XML 文档读取任意文件。(CVE-2016-3674)

  - 如果不使用特定 denyTypes 变通方案，1.4.9 及之前版本的 XStream 会在反编组期间错误处理对于创建原始类型 “void” 实例的尝试，进而导致远程应用程序崩溃，这一点已由 xstream.fromXML 调用证实。 (CVE-2017-7957)

  - 遇到特别构建的输入时，Apache Commons Compress 1.15 至 1.18 内部使用的文件名编码算法可进入无限循环。如果攻击者可选择 Compress 创建的存档中的文件名，则可导致拒绝服务攻击。(CVE-2019-12402)

  - 在版本 3.6.2 之前和 3.7.1 之前的版本 3.7.0 Atlassian Crowd 中，OpenID 客户端应用程序允许远程攻击者通过 XML 实体扩展漏洞发起拒绝服务攻击。(CVE-2019-20104)

  - 在 Go 1.13.13 之前的版本以及 1.14.x 之前的 1.14.5 版本中，某些 net/http 服务器中存在数据争用（httputil.ReverseProxy 处理程序即为一例），因为它同时读取请求主体并写入响应。(CVE-2020-15586)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリであるXStreamが、マーシャリング解除中にサービス拒否の疑いがあることが判明しました。

自己報告のバージョン番号によると、リモートホストにインストールされているJFrog Artifactoryのバージョンは7.10.1以前です。そのため、以下の複数の脆弱性の影響を受けます。

  - Xstream APIバージョン1.4.6以前およびバージョン1.4.10において、セキュリティフレームワークが初期化されていない場合、リモートの攻撃者が、XMLまたはサポートされている形式（例：JSON）をアンマーシャリングするときに、任意のシェルコマンドを実行できる可能性があります。（CVE-2013-7285）

  -1.4.9より前のXStreamのDom4JDriver、DomDriver、JDomDriver、JDom2Driver、SjsxpDriver、StandardStaxDriver、およびWstxDriverドライバに複数のXML外部エンティティ（XXE）の脆弱性があり、リモートの攻撃者が細工されたXMLドキュメントを介して任意のファイルを読み取ること可能です。（CVE-2016-3674）

  - 1.4.9までのXStreamは、特定のdenyTypesの回避策が使用されない場合、アンマーシャリング中にプリミティブなタイプ「void」のインスタンスを作成しようとする試みを誤って処理し、xstream.fromXML呼び出しで実証されているように、リモートアプリケーションのクラッシュにつながります。（CVE-2017-7957）

  - Apache Commons Compress 1.15から1.18で内部的に使用されるファイル名エンコーディングアルゴリズムは、巧妙に作りこまれた入力があると、無限ループに陥る可能性があります。これにより、攻撃者がCompressによって作成されたアーカイブ内のファイル名を選択できる場合、サービス拒否攻撃につながる可能性があります。（CVE-2019-12402）

  - 3.6.2以前、および3.7.1以前のバージョン3.7.0からのAtlassian CrowdにおけるOpenIDクライアントアプリケーションにより、リモートの攻撃者が、XMLエンティティ拡張の脆弱性を介して、サービス拒否攻撃を実行する可能性があります。（CVE-2019-20104）

  - 1.13.13以前のGoおよび1.14.5以前の1.14.xでは、httputil.ReverseProxyハンドラーで実証されたように、一部のnet/httpサーバーでデータレースが発生します。これは、リクエスト本文を読み取ると同時に応答を書き込むためです。（CVE-2020-15586）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

オブジェクトをXMLにシリアル化し、元に戻すJavaライブラリであるlibxstream-javaに、リモートアプリケーションクラッシュの脆弱性があることがわかりました。この原因は、マーシャリング解除中にプリミティブ型「void」のインスタンスを作成しようとした際の誤った処理です。

Debian 7「Wheezy」では、この問題はlibxstream-javaバージョン1.4.2-1+deb7u2で修正されています。

libxstream-java パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在進行物件與 XML 序列化與反序列化的 Java 程式庫 libxstream-java 中，發現一個遠端應用程式損毀弱點。此問題是因為不當處理嘗試在解除封送時建立原始類型的個體所致。針對 Debian 7「Wheezy」，此問題已在 libxstream-java 1.4.2-1+deb7u2 版本中修正。建議您升級 libxstream-java 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼判斷，遠端主機上安裝的 JFrog Artifactory 版本為 7.10.1 之前版本。因此受到多個弱點影響：

  - 如果安全性架構尚未初始化，Xstream API 1.4.6 及之前版本和 1.4.10 版可能允許遠端攻擊者在解組 XML 或任何支援的格式 (例如 JSON) 時，透過操控所處理的輸入資料流來執行任意 shell 命令。(CVE-2013-7285)

  - 在 1.4.9 之前的 XStream 中，Dom4JDriver、DomDriver、JDomDriver、JDom2Driver、SjsxpDriver、StandardStaxDriver 和 WstxDriver 驅動程式中存在多個 XML 外部實體 (XXE) 弱點，遠端攻擊者可利用這些弱點，透過建構的 XML 文件讀取任意檔案。(CVE-2016-3674)

  - 如果不使用特定 denyTypes 因應措施，1.4.9 及之前版本的 XStream 會在解除封送期間錯誤處理對於建立原始類型「void」執行個體的嘗試，進而導致遠端應用程式損毀，xstream.fromXML 呼叫即為一例。(CVE-2017-7957)

  - 在遇到特別建構的輸入時，Apache Commons Compress 1.15 至 1.18 內部使用的檔案名稱編碼演算法可能會進入無限迴圈。如果攻擊者可以在由 Compress 所建立的封存內選擇檔案名稱，則可導致拒絕服務攻擊。(CVE-2019-12402)

  - 在 Atlassian Crowd 3.6.2 之前版本、3.7.0 至 3.7.1 版本中，OpenID 用戶端應用程式允許遠端攻擊者透過 XML 實體擴展弱點發動拒絕服務攻擊。(CVE-2019-20104)

  - 在 Go 1.13.13 之前版本以及 1.14.x 的 1.14.5 之前版本中，某些 net/http 伺服器中有資料爭用情形，httputil.ReverseProxy 處置程式即為一例，原因在於它會同時讀取要求內文並寫入回應。(CVE-2020-15586)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

已发现用于将对象序列化为 XML 和反序列化的 Java 库 XStream 在解组期间容易受到拒绝服务攻击。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
99970	Debian DSA-3841-1 : libxstream-java - security update	Nessus	Debian Local Security Checks	2017/5/4	2021/1/11	high
99919	Debian DLA-930-1 : libxstream-java security update	Nessus	Debian Local Security Checks	2017/5/2	2021/1/11	high
144307	JFrog < 7.10.1 Multiple Vulnerabilities	Nessus	Misc.	2020/12/16	2022/12/5	critical
99970	Debian DSA-3841-1：libxstream-java - 安全性更新	Nessus	Debian Local Security Checks	2017/5/4	2021/1/11	high
99919	Debian DLA-930-1：libxstream-java 安全更新	Nessus	Debian Local Security Checks	2017/5/2	2021/1/11	high
144307	JFrog < 7.10.1 多个漏洞	Nessus	Misc.	2020/12/16	2022/12/5	critical
99970	Debian DSA-3841-1: libxstream-java - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/4	2021/1/11	high
144307	JFrog < 7.10.1の複数の脆弱性	Nessus	Misc.	2020/12/16	2022/12/5	critical
99919	Debian DLA-930-1: libxstream-java セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/2	2021/1/11	high
99919	Debian DLA-930-1：libxstream-java 安全性更新	Nessus	Debian Local Security Checks	2017/5/2	2021/1/11	high
144307	JFrog < 7.10.1 多個弱點	Nessus	Misc.	2020/12/16	2022/12/5	critical
99970	Debian DSA-3841-1：libxstream-java - 安全更新	Nessus	Debian Local Security Checks	2017/5/4	2021/1/11	high

検出

プラグインの検索

high

high

critical

high

high

critical

high

critical

high

high

critical

high