登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202112/1519554_30003_0.htm

XStream远程代码执行漏洞安全通告（CVE-2021-29505）

【发布时间：2021-12-30】

威胁预警团队

2021/05/17


1. 漏洞综述

1.1 漏洞背景

XStream是一个简单、易用的Java类库，主要用于在Java对象和XML之间进行序列化和反序列化，支持所有的基础类型、数组及集合等类型，在进行JavaBean序列化或XML文件反序列化时，不需要其它辅助类和映射文件，使得XML序列化更简便。XStream也可以将JavaBean序列化成Json或反序列化，使用非常方便。近日，新华三攻防实验室威胁预警团队监测到XStream官方发布了安全公告，修复了存在的一处任意代码执行漏洞，漏洞编号CVE-2021-29505，漏洞威胁等级：严重。

1.2 漏洞描述

XStream中存在反序列化漏洞，在反序列化处理的数据流中，若包含用于重新创建以前写入对象的类型信息，则可基于这些类型信息创建新的实例。远程攻击者通过替换处理后的输入流或在其中注入对象，构造恶意的XML或JSON等文档，从而执行从远程服务器加载的任意代码。

目前该漏洞利用代码已公开，建议受影响用户尽快采取相关防护措施，以防造成损失。

2. 影响范围

XStream <= 1.4.16

3. 严重等级

严重

4. 处置方法

4.1官方补丁

1、XStream官方已在新版本中修复该漏洞，请升级至XStream 1.4.17及以上版本，下载链接：https://x-stream.github.io/download.html

4.2临时修复方案

1、若受影响用户暂时无法升级，可采用官方提供的临时缓解方案：http://x-stream.github.io/security.html#workaround

4.3 H3C解决方案

1、H3C安全设备防护方案

新华三IPS规则库将在1.0.131版本支持对该漏洞的识别，H3C全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。

2、态势感知产品解决方案

H3C态势感知产品已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。

3、H3C云安全能力中心解决方案

H3C云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。

5. 参考链接

1、 http://x-stream.github.io/security.html

新华三官网
联系我们