KnowSafe 安全预警：Xstream API < 1.4.10 不安全的XML反序列化导致远程代码执行

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2013-7285 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Xstream API versions up to 1.4.6 and version 1.4.10, if the security framework has not been initialized, may allow a remote attacker to run arbitrary shell commands by manipulating the processed input stream when unmarshaling XML or any supported format. e.g. JSON.

影响范围

应用：xstream_project xstream（影响面 Up to (including) 1.4.6）

应用：xstream_project xstream（版本 1.4.10）

系统：debian_10 libxstream-java（影响面 Up to (excluding) 1.4.7-1）

系统：debian_11 libxstream-java（影响面 Up to (excluding) 1.4.7-1）

系统：debian_12 libxstream-java（影响面 Up to (excluding) 1.4.7-1）

系统：redhat_6 libvirt（影响面 Up to (excluding) 0:0.10.2-29.el6_5.11）

系统：ubuntu_14.04 libxstream-java（影响面 Up to (excluding) 1.4.7-1）

系统：ubuntu_14.04.6_lts libxstream-java（影响面 Up to (excluding) 1.4.7-1）

……另有 5 项受影响环境，详见官方公告

解决方案

升级Xstream至1.4.10。

参考信息

http://blog.diniscruz.com/2013/12/xstream-remote-code-execution-exploit.html

http://seclists.org/oss-sec/2014/q1/69

http://web.archive.org/web/20140204133306/http://blog.diniscruz.com/2013/12/xstream-remote-code-execution-exploit.html

https://lists.apache.org/thread.html/6d3d34adcf3dfc48e36342aa1f18ce3c20bb8e4c458a97508d5bfed1%40%3Cissues.activemq.apache.org%3E

https://lists.apache.org/thread.html/dcf8599b80e43a6b60482607adb76c64672772dc2d9209ae2170f369%40%3Cissues.activemq.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。