XMLにオブジェクトにシリアル化し、それを元に戻すJavaライブラリであるXStreamのデフォルトブラックリストが、処理された入力ストリームを操作することによる任意のシェルコマンド実行に脆弱になることが判明しました。

追加の多重防御が必要な場合、XStreamのセキュリティフレームワークのホワイトリストアプローチに切り替えることが推奨されます。詳細については、https://github.com/x-stream/xstream/security/advisories/GHSA-mw36-7c6cを参照してください
- q4q2

リモートのUbuntu 18.04 LTS/20.04 LTS/20.10 /21.04ホストには、USN-4943-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。(CVE-2020-26217) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15以前のXStreamでは、サーバーサイド偽造リクエストの脆弱性が、マーシャリング解除時にアクティブ化される可能性があります。この脆弱性により、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26258) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15より前のXStreamでは、アンマーシャリング時にローカルホストでの任意のファイルの削除に対して脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26259) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStream は、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用して XStream のセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21351)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS ホストには、USN-6978-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    XStream が細工された特定の XML ドキュメントの解析を誤って処理することがわかりました。リモートの攻撃者が、この問題を利用して、任意のファイルを読み取る可能性があります。(CVE-2016-3674)

    Zhihong Tian 氏と Hui Lu 氏は、XStream がリモートコード実行に脆弱であることを発見しました。リモート攻撃者が処理済みの入力ストリームを操作して、任意のシェルコマンドを実行する可能性があります。(CVE-2020-26217)

    XStream がサーバー側の偽造攻撃に対して脆弱であることが判明しました。リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。(CVE-2020-26258)

    XStream が、ローカルホスト上の任意のファイルの削除に対して脆弱であることが判明しました。リモートの攻撃者は実行プロセスに十分な権限があるためこれを利用し、処理済みの入力ストリームを操作することのみにより、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。(CVE-2020-26259)

    XStream は、サービス拒否、任意のコードの実行、任意のファイルの削除、サーバー側の偽造攻撃に対して脆弱であることが判明しました。リモートの攻撃者が、処理済みの入力ストリームを操作することで、これらの問題を引き起こす可能性があります。(CVE-2021-21341、CVE-2021-21342、CVE-2021-21343、CVE-2021-21344、CVE-2021-21345、CVE-2021-21346、CVE-2021-21347、CVE-2021-21348、CVE-2021-21349、CVE-2021-21350、CVE-2021-21351)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Scientific Linux 7 ホストのパッケージは、SLSA-2021: 0162-1 アドバイザリに記載されている脆弱性の影響を受けます。

  - XStream：ブロックリストに依存している場合の、安全でないXMLの逆シリアル化によるリモートコード実行 (CVE-2020-26217)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているxstreamのバージョンは、1.3.1-12より前です。したがって、ALAS2-2021-1593のアドバイザリに記載されている脆弱性の影響を受けます。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。（CVE-2020-26217）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このxstream用の更新プログラムでは、次の問題が修正されています：

xstreamは、バージョン1.4.15に更新されました。

  - CVE-2020-26217：ブロックリストに依存している場合の、安全でないXMLの逆シリアル化によるリモートコード実行を修正しました（bsc#1180994）。

  - CVE-2020-26258：サーバーサイドリクエストフォージェリの脆弱性を修正しました（bsc#1180146）。

  - CVE-2020-26259：任意のファイルを削除される脆弱性を修正しました（bsc#1180145）。

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

XStreamがリモートコード実行に脆弱であることが判明しました。この脆弱性のため、リモート攻撃者が処理済みの入力ストリームを操作するだけで任意のシェルコマンドを実行できる可能性があります。ブロックリストに依存しているユーザーが影響を受けます（Debianのデフォルト）。ブラックリストアプローチでは対処できないクラスの組み合わせがさらに存在する可能性があるため、XStreamのセキュリティフレームワークのホワイトリストアプローチを使用することを強く推奨します。

Debian 9 'Stretch'では、この問題はバージョン1.4.9-2+deb9u1で修正されています。

お使いのlibxstream-javaパッケージをアップグレードすることを推奨します。

libxstream-javaの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/libxstream-java

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021:  0162アドバイザリ。

  - XStream：ブロックリストに依存している場合の、安全でないXMLの逆シリアル化によるリモートコード実行（CVE-2020-26217）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 18.04 LTS/20.04 LTSホストには、USN-4714-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。（CVE-2020-26217）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15以前のXStreamでは、サーバーサイド偽造リクエストの脆弱性が、マーシャリング解除時にアクティブ化される可能性があります。この脆弱性により、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。（CVE-2020-26258）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15より前のXStreamでは、アンマーシャリング時にローカルホストでの任意のファイルの削除に対して脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。（CVE-2020-26259）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 7ホストに、ELSA-2021-0162アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。（CVE-2020-26217）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 7 ホストには、RHSA-2021:0162 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。（CVE-2020-26217）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
144311	Debian DSA-4811-1 : libxstream-java - セキュリティ更新	Nessus	Debian Local Security Checks	2020/12/16	2024/2/1	high
149408	Ubuntu 18.04 LTS / 20.04 LTS : XStream の脆弱性 (USN-4943-1)	Nessus	Ubuntu Local Security Checks	2021/5/12	2025/9/3	critical
206123	Ubuntu 14.04 LTS / 16.04 LTS : XStream の脆弱性 (USN-6978-1)	Nessus	Ubuntu Local Security Checks	2024/8/22	2024/8/27	critical
145442	Scientific Linux セキュリティ更新: SL7.x の xstream (noarch) (2021:0162)	Nessus	Scientific Linux Local Security Checks	2021/1/26	2024/1/26	high
145450	Amazon Linux 2：xstream（ALAS-2021-1593）	Nessus	Amazon Linux Local Security Checks	2021/1/26	2024/12/11	high
145314	openSUSEセキュリティ更新プログラム：xstream（openSUSE-2021-140）	Nessus	SuSE Local Security Checks	2021/1/25	2024/1/26	high
143386	DebianDLA-2471-1：libxstream-javaのセキュリティ更新	Nessus	Debian Local Security Checks	2020/12/1	2024/2/7	high
145067	RHEL 7：xstream（RHSA-2021：0162）	Nessus	Red Hat Local Security Checks	2021/1/19	2024/11/7	high
145542	Ubuntu 18.04 LTS / 20.04 LTS：XStreamの脆弱性（USN-4714-1）	Nessus	Ubuntu Local Security Checks	2021/1/29	2024/8/27	high
145080	Oracle Linux 7：xstream（ELSA-2021-0162）	Nessus	Oracle Linux Local Security Checks	2021/1/19	2024/11/1	high
145441	CentOS 7：xstream（RHSA-2021:0162）	Nessus	CentOS Local Security Checks	2021/1/26	2024/10/9	high

検出

プラグインの検索

high

critical

critical

high

high

high

high

high

high

high

high