远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 3956 公告。

  - xstream：通过 Xalan xsltc.trax.TemplatesImpl 的不安全反序列化造成的任意代码执行（CVE-2021-39139、CVE-2021-39153）

  - xstream：通过 sun.reflect.annotation.AnnotationInvocationHandler 的不安全反序列化造成的无限循环 DoS (CVE-2021-39140)

  - xstream：通过 com.sun.xml.internal.ws.client.sei.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39141)

  - xstream：通过 sun.tracing.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39144)

  - xstream：通过 com.sun.jndi.ldap.LdapBindingEnumeration 的不安全反序列化造成的任意代码执行（CVE-2021-39145、CVE-2021-39151）

  - xstream：通过 javax.swing.UIDefaults$ProxyLazyValue 的不安全反序列化造成的任意代码执行（CVE-2021-39146、CVE-2021-39154）

  - xstream：通过 com.sun.jndi.ldap.LdapSearchEnumeration 的不安全反序列化造成的任意代码执行 (CVE-2021-39147)

  - xstream：通过 com.sun.jndi.toolkit.dir.ContextEnumerator 的不安全反序列化造成的任意代码执行 (CVE-2021-39148)

  - xstream：通过 com.sun.corba.* 的不安全反序列化造成的任意代码执行 (CVE-2021-39149)

  - xstream：通过 com.sun.xml.internal.ws.client.sei.* 的不安全反序列化造成的服务器端请求伪造 (SSRF) (CVE-2021-39150)

  - xstream：通过 jdk.nashorn.internal.runtime.Source$URLData 的不安全反序列化造成的服务器端请求伪造 (SSRF) (CVE-2021-39152)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：xstream (RHSA-2021: 3956)

high Nessus 插件 ID 154419

版本 1.10