1. 通告信息
近日，安识科技A-Team团队监测发现XStream Java序列化库存在远程代码执行严重漏洞，攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。
对此，安识科技建议广大用户及时做好软件补丁更新，并做好资产自查以及预防工作，以免遭受黑客攻击。
2. 漏洞概述
XStream是一个常用的Java对象和XML相互转换的工具，攻击者通过构造恶意的XML文档，可绕过XStream的黑名单，触发反序列化，从而造成反序列化代码执行漏洞。
3. 漏洞危害
攻击者可以利用此漏洞在未授权的情况下执行远程命令，进而获取服务器的权限，存在极大的危害。
4. 影响版本
XStream<=1.4.16
5. 解决方案
升级XStream 1.4.17版本
6. 时间轴
【-】2021年5月15日 XStream官方发布安全更新
【-】2021年5月17日 安识科技A-Team团队根据官方公告分析
【-】2021年5月18日 安识科技A-Team团队发布安全通告
本文作者：安识科技
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/160698.html
必填 您当前尚未登录。 登录？ 注册
必填（保密）