一、 漏洞 CVE-2021-21345 基础信息
漏洞信息
                                        # XStream易受远程命令执行攻击

## 漏洞概述
XStream是一个用于Java对象与XML之间序列化的Java库。在XStream 1.4.16之前的版本中存在一个漏洞，该漏洞允许远程攻击者通过操纵处理的输入流来执行主机上的命令。

## 影响版本
- XStream 1.4.16之前的版本

## 漏洞细节
该漏洞在XStream的序列化过程中存在，允许远程攻击者通过操纵输入流来执行主机上的命令。如果用户遵循了建议，通过安全框架设置了一个只包含必要类型的白名单，那么该漏洞不会对这些用户造成影响。然而，如果用户依赖XStream安全框架的默认黑名单，建议使用至少1.4.16版本。

## 影响
- 如果没有使用白名单配置，而依赖默认的黑名单配置，用户可能遭受远程代码执行攻击。
- 更新到1.4.16或以上版本可以修复该漏洞。
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
XStream is vulnerable to a Remote Command Execution attack
来源：美国国家漏洞数据库 NVD
漏洞描述信息
XStream is a Java library to serialize objects to XML and back again. In XStream before version 1.4.16, there is a vulnerability which may allow a remote attacker who has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. If you rely on XStream's default blacklist of the Security Framework, you will have to use at least version 1.4.16.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
XStream 操作系统命令注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
XStream是XStream团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。 XStream 1.4.16 之前版本存在操作系统命令注入漏洞，攻击者可利用该漏洞仅通过操作已处理的输入流来执行主机的命令。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2021-21345 的公开POC
# POC 描述 源链接 神龙链接
1 XStream before 1.4.16 is susceptible to remote code execution. An attacker who has sufficient rights can execute host commands via manipulating the processed input stream, thereby making it possible to obtain sensitive information, modify data, and/or execute unauthorized administrative operations. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2021/CVE-2021-21345.yaml POC详情
2 None https://github.com/shoucheng3/x-stream__xstream_CVE-2021-21345_1-4-15 POC详情
三、漏洞 CVE-2021-21345 的情报信息
四、漏洞 CVE-2021-21345 的评论

暂无评论

发表评论