1. 通告信息

近日，安识科技A-Team团队监测发现XStream Java序列化库存在远程代码执行严重漏洞，攻击者可以操纵已处理的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

对此，安识科技建议广大用户及时做好软件补丁更新，并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

XStream是一个常用的Java对象和XML相互转换的工具，攻击者通过构造恶意的XML文档，可绕过XStream的黑名单，触发反序列化，从而造成反序列化代码执行漏洞。

3. 漏洞危害

攻击者可以利用此漏洞在未授权的情况下执行远程命令，进而获取服务器的权限，存在极大的危害。

4. 影响版本

XStream<=1.4.16

5. 解决方案

升级XStream 1.4.17版本

6. 时间轴

【-】2021年5月15日 XStream官方发布安全更新

【-】2021年5月17日 安识科技A-Team团队根据官方公告分析

【-】2021年5月18日 安识科技A-Team团队发布安全通告

本文作者：安识科技

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/160698.html