远程主机上安装的 xstream 版本低于 1.3.1-14。因此，该应用程序受到 ALAS2-2021-1698 公告中提及的漏洞的影响。

  - XStream 是一款可将 Java 对象序列化为 XML，再将 XML 序列化为 Java 对象的软件。XStream 1.4.17 之前的版本中存在一个漏洞，权限充足的远程攻击者可利用此漏洞，仅通过操纵处理过的输入流执行主机命令。在设置 XStream 安全框架时按照建议将白名单限定为最低要求类型的用户不会受到影响。此漏洞已在版本 1.4.17 中修复。(CVE-2021-29505)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Amazon Linux 2：xstream (ALAS-2021-1698)

high Nessus 插件 ID 152234

未找到变更日志