KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-40152 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
XStream是XStream团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
XStream存在缓冲区错误漏洞，该漏洞源于用户使用其序列化XML数据时，如果解析器是在用户提供的输入上运行的，攻击者可能提供能够利用栈溢出实现让解析器崩溃的内容导致拒绝服务。
影响范围
应用：xstream_project xstream（影响面 Up to (including) 1.4.19）
系统：amazon_2 woodstox-core（影响面 Up to (excluding) 4.1.2-8.amzn2.0.1）
系统：kylinos_aarch64_V10 woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10）
系统：kylinos_aarch64_V10HPC woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10h）
系统：kylinos_aarch64_V10SP2 woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10）
系统：kylinos_aarch64_V10SP3 woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10）
系统：kylinos_aarch64_V10SP32309b woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10）
系统：kylinos_aarch64_V10SP32403 woodstox-core（影响面 Up to (excluding) 5.0.3-2.ky10）
……另有 7 项受影响环境，详见官方公告
解决方案
禁用DTD处理并更新到xstream/Woodstox库的最新版本以防止拒绝服务攻击。
参考信息
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=47434
https://github.com/x-stream/xstream/issues/304
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。