KnowSafe 安全预警：XStream 组件反序列化漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-26217 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

XStream是XStream团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。 XStream 1.4.14之前版本存在安全漏洞，该漏洞源于容易受到远程代码执行的攻击。攻击者可利用该漏洞仅通过操纵已处理的输入流来运行任意shell命令。只有依赖黑名单的用户才会受到影响。

影响范围

应用：xstream_project xstream（影响面 Up to (excluding) 1.4.14）

系统：amazon_2 xstream（影响面 Up to (excluding) 1.3.1-12.amzn2）

系统：centos_7 xstream（影响面 Up to (excluding) 1.3.1-12.el7_9）

系统：debian_10 libxstream-java（影响面 Up to (excluding) 1.4.11.1-1+deb10u1）

系统：debian_11 libxstream-java（影响面 Up to (excluding) 1.4.14-1）

系统：debian_12 libxstream-java（影响面 Up to (excluding) 1.4.14-1）

系统：debian_9 libxstream-java（影响面 Up to (excluding) 1.4.9-2+deb9u1）

系统：kylinos_aarch64_V10 xstream（影响面 Up to (excluding) 1.3.1-13.el7_9）

……另有 6 项受影响环境，详见官方公告

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://x-stream.github.io/CVE-2020-26217.html

参考信息

https://github.com/x-stream/xstream/commit/0fec095d534126931c99fd38e9c6d41f5c685c1a

https://github.com/x-stream/xstream/security/advisories/GHSA-mw36-7c6c-q4q2

https://lists.apache.org/thread.html/r2de526726e7f4db4a7cb91b7355070779f51a84fd985c6529c2f4e9e%40%3Cissues.activemq.apache.org%3E

https://lists.apache.org/thread.html/r7c9fc255edc0b9cd9567093d131f6d33fde4c662aaf912460ef630e9%40%3Ccommits.camel.apache.org%3E

https://lists.apache.org/thread.html/r826a006fda71cc96fc87b6eca4b5d195f19a292ad36cea501682c38c%40%3Cissues.activemq.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。