KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-29505 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
5月14日，XStream官方发布安全更新，修复了一个严重漏洞CVE-2021-29505，通过该漏洞，攻击者构造特定的XML，绕过XStream的黑名单，最终触发反序列化造成任意代码执行。
影响范围
应用：xstream_project xstream（影响面 Up to (excluding) 1.4.17）
系统：alibaba_cloud_linux_2.1903 xstream（影响面 Up to (excluding) 1.3.1-14.1.al7）
系统：amazon_2 xstream（影响面 Up to (excluding) 1.3.1-14.amzn2）
系统：centos_7 xstream（影响面 Up to (excluding) 1.3.1-14.el7_9）
系统：debian_10 libxstream-java（影响面 Up to (excluding) 1.4.11.1-1+deb10u3）
系统：debian_11 libxstream-java（影响面 Up to (excluding) 1.4.15-3）
系统：debian_12 libxstream-java（影响面 Up to (excluding) 1.4.15-3）
系统：debian_9 libxstream-java（影响面 Up to (excluding) 1.4.11.1-1+deb9u3）
……另有 9 项受影响环境，详见官方公告
解决方案
升级至安全版本 >= 1.4.17。
参考信息
https://github.com/x-stream/xstream/commit/24fac82191292c6ae25f94508d28b9823f83624f
https://github.com/x-stream/xstream/commit/f0c4a8d861b68ffc3119cfbbbd632deee624e227
https://github.com/x-stream/xstream/security/advisories/GHSA-7chv-rrw6-w6fc
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。