Amazon Linux 2：xstream (ALAS-2021-1645)

critical Nessus 插件 ID 149867

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 xstream 版本低于 1.3.1-13。因此，如公告 ALAS2-2021-1645 所述，该主机受到多个漏洞的影响。

- XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。（CVE-2021-21344、CVE-2021-21346、CVE-2021-21347）

- XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许权限充足的远程攻击者仅通过操纵处理过的输入流便可执行主机命令。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。(CVE-2021-21345)

- XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的 Java 库。XStream 1.4.16 之前的版本中存在一个漏洞，该漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可执行任意代码。按照建议使用仅限最低所需类型的白名单来设置 XStream 安全框架的用户不会受到影响。如果依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.16 版本。
(CVE-2021-21350)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。