リモートのUbuntu 18.04 LTS/20.04 LTSホストには、USN-4714-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。（CVE-2020-26217）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15以前のXStreamでは、サーバーサイド偽造リクエストの脆弱性が、マーシャリング解除時にアクティブ化される可能性があります。この脆弱性により、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。（CVE-2020-26258）

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15より前のXStreamでは、アンマーシャリング時にローカルホストでの任意のファイルの削除に対して脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。（CVE-2020-26259）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このxstream用の更新プログラムでは、次の問題が修正されています：

xstreamは、バージョン1.4.15に更新されました。

  - CVE-2020-26217：ブロックリストに依存している場合の、安全でないXMLの逆シリアル化によるリモートコード実行を修正しました（bsc#1180994）。

  - CVE-2020-26258：サーバーサイドリクエストフォージェリの脆弱性を修正しました（bsc#1180146）。

  - CVE-2020-26259：任意のファイルを削除される脆弱性を修正しました（bsc#1180145）。

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

オブジェクトをXMLにシリアル化し、元に戻すJavaライブラリであるXStreamに、複数のセキュリティ脆弱性が発見されました。

CVE-2020-26258

XStreamは、マーシャリング解除時に起動する可能性のあるサーバーサイドフォージェリリクエストに脆弱です。この脆弱性により、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる可能性があります。

CVE-2020-26259

XStreamは、マーシャリング解除時にローカルホストでの任意のファイル削除に脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。

Debian 9 'Stretch'では、これらの問題はバージョン1.4.11.1-1+deb9u1で修正されています。

お使いのlibxstream-javaパッケージをアップグレードすることを推奨します。

libxstream-javaの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/libxstream-java

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Liaogui Zhong氏は、オブジェクトをXMLにシリアル化して、それを元に戻すJavaライブラリであるXStreamに2つのセキュリティの問題を発見しました。

リモートのUbuntu 18.04 LTS/20.04 LTS/20.10 /21.04ホストには、USN-4943-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.14より前のバージョンのXStreamには、リモートでコードが実行される脆弱性があります。この脆弱性のため、リモートの攻撃者が処理済みの入力ストリームを操作して任意のシェルコマンドを実行する可能性があります。ブロックリストに依存しているユーザーのみが影響を受けます。XStreamのSecurity Framework allowlistを使用しているユーザーは影響を受けません。リンク先のアドバイザリには、アップグレードできないユーザーに対するコード回避策が記載されています。この問題は、バージョン1.4.14で修正されています。(CVE-2020-26217) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15以前のXStreamでは、サーバーサイド偽造リクエストの脆弱性が、マーシャリング解除時にアクティブ化される可能性があります。この脆弱性により、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストする可能性があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26258) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.15より前のXStreamでは、アンマーシャリング時にローカルホストでの任意のファイルの削除に対して脆弱です。この脆弱性により、リモートの攻撃者は、処理済みの入力ストリームを操作することのみにより、実行プロセスに十分な権限があるため、ログとしてホスト上の任意の既知のファイルを削除できる場合があります。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.15を使用する必要があります。報告されている脆弱性は、Java 15以降を実行している場合は存在しません。ホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのデフォルトのブラックリストに依存している誰もが、脆弱性を回避するために許可されたタイプのホワイトリストにすぐに切り替えることができます。XStreamのデフォルトのブラックリストを使用したいXStream 1.4.14以下のユーザーは、参照されているアドバイザリで詳細が説明されている回避策を使用できます。(CVE-2020-26259) 

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン1.4.16より前のXStreamには、リモートの攻撃者がCPUの種類やペイロードのパラレル実行によっては100％のCPU時間を標的のシステムに割り当てる脆弱性があるため、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16を使用する必要があります。
    (CVE-2021-21341)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStream は、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、サーバー側の偽造リクエストを引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用して XStream のセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21342)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。バージョン 1.4.16 より前の XStream では、アンマーシャリング時に処理されるストリームに、以前書き込まれたオブジェクトを再作成するための型情報が含まれる脆弱性があります。したがって、XStreamは、これらのタイプ情報に基づいて新しいインスタンスを作成します。攻撃者が、処理された入力ストリームを操作し、オブジェクトを置換または注入することで、ローカルホストのファイルの削除を引き起こす可能性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21343)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作して、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21344、CVE-2021-21346、CVE-2021-21347)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、十分な権限を持つリモートの攻撃者が処理済みの入力ストリームを操作するだけで、ホストのコマンドを実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21345)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモートの攻撃者が最大CPU時間を消費し、戻ることのないスレッドを占有できる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21348)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16バージョンより前のXStreamには、リモート攻撃者が処理済みの入力ストリームを操作することのみにより、一般に利用できない内部リソースからデータをリクエストできる脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStreamのセキュリティフレームワークのデフォルトブラックリストに依存している場合は、少なくともバージョン1.4.16を使用する必要があります。(CVE-2021-21349)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。- 1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作するだけで、任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21350)

  - XStreamは、オブジェクトをXMLにシリアル化したり戻したりするためのJavaライブラリです。1.4.16より前のバージョンのXStreamには、リモートの攻撃者が処理済みの入力ストリームを操作することのみにより、リモートホストから任意のコードを読み込み実行する脆弱性があります。最低限の必須タイプに限定されたホワイトリストを使用してXStreamのセキュリティフレームワークを設定するという推奨事項に従ったユーザーは影響を受けません。XStream のセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン 1.4.16 を使用する必要があります。
    (CVE-2021-21351)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
145542	Ubuntu 18.04 LTS / 20.04 LTS：XStreamの脆弱性（USN-4714-1）	Nessus	Ubuntu Local Security Checks	2021/1/29	2023/10/21	high
145314	openSUSEセキュリティ更新プログラム：xstream（openSUSE-2021-140）	Nessus	SuSE Local Security Checks	2021/1/25	2024/1/26	high
144681	DebianDLA-2507-1：libxstream-javaのセキュリティ更新	Nessus	Debian Local Security Checks	2021/1/4	2024/1/31	high
144818	Debian DSA-4828-1 : libxstream-java - セキュリティ更新	Nessus	Debian Local Security Checks	2021/1/11	2024/1/30	high
149408	Ubuntu 18.04 LTS / 20.04 LTS : XStream の脆弱性 (USN-4943-1)	Nessus	Ubuntu Local Security Checks	2021/5/12	2023/10/20	critical

検出

プラグインの検索

high

high

high

high

critical