一、 漏洞 CVE-2021-29505 基础信息
漏洞信息
                                        # XStream易受远程命令执行攻击

## 概述
XStream 是一款用于将 Java 对象序列化为 XML 并逆向转换的软件。在 XStream 1.4.17 之前的版本中存在一个漏洞，允许远程攻击者通过操纵处理的输入流来执行主机上的命令。

## 影响版本
- XStream 1.4.17 之前的版本

## 细节
该漏洞允许可访问输入流的远程攻击者执行主机上的命令。但遵循建议配置 XStream 安全框架并限定白名单仅包含最小必需类型的用户不受影响。

## 影响
- 允许远程命令执行
- 受影响版本已在 1.4.17 中修复
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
XStream is vulnerable to a Remote Command Execution attack
来源：美国国家漏洞数据库 NVD
漏洞描述信息
XStream is software for serializing Java objects to XML and back again. A vulnerability in XStream versions prior to 1.4.17 may allow a remote attacker has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types is affected. The vulnerability is patched in version 1.4.17.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
XStream 代码问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。 XStream存在代码问题漏洞，该漏洞允许远程攻击者有足够的权限仅通过操纵处理后的输入流来执行主机的命令。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2021-29505 的公开POC
# POC 描述 源链接 神龙链接
1 对CVE-2021-29505进行复现，并分析学了下Xstream反序列化过程 https://github.com/MyBlackManba/CVE-2021-29505 POC详情
2 XStream before 1.4.17 is susceptible to remote code execution. An attacker can execute commands of the host by manipulating the processed input stream, thereby making it possible to obtain sensitive information, modify data, and/or execute unauthorized administrative operations in the context of the affected site. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2021/CVE-2021-29505.yaml POC详情
3 None https://github.com/Threekiii/Awesome-POC/blob/master/%E5%BC%80%E5%8F%91%E6%A1%86%E6%9E%B6%E6%BC%8F%E6%B4%9E/XStream%20%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%91%BD%E4%BB%A4%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%20CVE-2021-29505.md POC详情
4 https://github.com/vulhub/vulhub/blob/master/xstream/CVE-2021-29505/README.md POC详情
三、漏洞 CVE-2021-29505 的情报信息