XStream是一個(gè)常用的Java對(duì)象和XML相互轉(zhuǎn)換的工具。5月15日 XStream官方發(fā)布安全更新，，修復(fù)了多個(gè)XStream 反序列化漏洞。以下是漏洞詳情：

漏洞詳情

來(lái)源: https://x-stream.github.io/security.html?spm=a2c4g.11174386.n2.4.54c11051CEr2c6#workaround

CVE-2021-29505 嚴(yán)重程度: 高危

攻擊者通過(guò)構(gòu)造惡意的XML文檔，directadmin安裝，可繞過(guò)XStream的黑名單，觸發(fā)反序列化，從而造成反序列化代碼執(zhí)行漏洞.實(shí)際漏洞利用依賴(lài)于具體代碼實(shí)現(xiàn)以及相關(guān)接口請(qǐng)求，無(wú)法批量遠(yuǎn)程利用。

受影響的產(chǎn)品和版本

XStream 1.4.17之前版本

解決方案

XStream官方已發(fā)布安全更新,升級(jí)XStream 1.4.17版本可修復(fù)