AI智能體專(zhuān)區(qū)
立即體驗(yàn)恒腦安全智能體 
立即解鎖AI安服數(shù)字員工 
行業(yè)解決方案
技術(shù)解決方案
媒體報(bào)道
通告| XStream多個(gè)高危漏洞 安恒AiLPHA解決方案來(lái)應(yīng)對(duì)
近日，安恒AiLPHA安全團(tuán)隊(duì)監(jiān)測(cè)到XStream官方發(fā)布漏洞公告，公開(kāi)了多個(gè)XStream高危漏洞的詳細(xì)信息。其中CVE-2021-39152、CVE-2021-39144等多個(gè)漏洞允許攻擊者通過(guò)構(gòu)造特殊的XML數(shù)據(jù)繞過(guò)XStream黑名單限制，從而在目標(biāo)機(jī)器上執(zhí)行任意代碼。目前該漏洞的細(xì)節(jié)及POC已公開(kāi)，安恒AiLPHA安全團(tuán)隊(duì)建議客戶盡快自查XStream版本，升級(jí)到安全版本以避免受此影響。
XStream 是一個(gè)簡(jiǎn)單的Java庫(kù)，可以輕易地將Java對(duì)象和XML文檔相互轉(zhuǎn)換,它不需要其它輔助類(lèi)和映射文件，這使得XML序列化不再繁瑣。
其中XStream任意代碼執(zhí)行漏洞(CVE-2021-39139、CVE-2021-39141、CVE-2021-39144、CVE-2021-39145、CVE-2021-39146、CVE-2021-39147、CVE-2021-39148、CVE-2021-39149、CVE-2021-39151、CVE-2021-39152、CVE-2021-39153、CVE-2021-39154)允許攻擊者通過(guò)構(gòu)造惡意的XML文件，繞過(guò)XStream的黑名單機(jī)制，從而觸發(fā)反序列化，導(dǎo)致反序列化代碼執(zhí)行，并因此造成任意代碼執(zhí)行。
其中XStream SSRF漏洞(CVE-2021-39150)允許攻擊者通過(guò)構(gòu)造惡意的XML文件，可以繞過(guò)XStream的黑名單機(jī)制，從而觸發(fā)反序列化，導(dǎo)致反序列化代碼執(zhí)行，并因此導(dǎo)致服務(wù)器端偽造請(qǐng)求(SSRF)。
安恒AiPHA已復(fù)現(xiàn)部分漏洞(CVE-2021-39152)，截圖如下：
危害等級(jí)：高危
影響版本：XStream <= 1.4.17
1.AiLPHA大數(shù)據(jù)平臺(tái)檢測(cè)方案
AiLPHA大數(shù)據(jù)平臺(tái)的流量探針（AiNTA）在第一時(shí)間加入了對(duì)該漏洞的檢測(cè)規(guī)則，請(qǐng)將規(guī)則包升級(jí)到1.1.295版本（AiNTA-v1.1.7_release_ruletag_1.1.295）及以上版本。
規(guī)則名稱(chēng)：XStream 反序列化命令執(zhí)行漏洞(CVE-2021-39152)，規(guī)則編號(hào)：93007878
AiNTA流探針規(guī)則升級(jí)方法：系統(tǒng)管理->手動(dòng)升級(jí)，選擇“上傳升級(jí)包”。升級(jí)成功后，規(guī)則版本會(huì)變?yōu)樽钚碌陌姹咎?hào)。
請(qǐng)從AiLPHA安全中心下載規(guī)則包。
AiLPHA安全中心地址：
https://ailpha.dbappsecurity.com.cn/#/login
如果沒(méi)有賬號(hào)，請(qǐng)從頁(yè)面注冊(cè)賬號(hào)：
2.APT攻擊預(yù)警平臺(tái)
APT攻擊預(yù)警平臺(tái)已經(jīng)在第一時(shí)間加入了對(duì)該漏洞的檢測(cè)，請(qǐng)將規(guī)則包升級(jí)到GoldenEyeIPv6_XXXXX_strategy2.0.25349.210824.1及以上版本。
規(guī)則名稱(chēng)：XStream 反序列化命令執(zhí)行漏洞(CVE-2021-39152)，規(guī)則編號(hào)：93007878
APT攻擊預(yù)警平臺(tái)規(guī)則升級(jí)方法：系統(tǒng)->升級(jí)管理，選擇“手動(dòng)升級(jí)”或“在線升級(jí)”。
APT攻擊預(yù)警平臺(tái)的規(guī)則升級(jí)包請(qǐng)到安恒社區(qū)下載：
https://bbs.dbappsecurity.com.cn/。
官方緩解措施：當(dāng)前官方已發(fā)布最新版本已修復(fù)漏洞，建議受影響的用戶及時(shí)更新官方最新版本。
鏈接如下：https://x-stream.github.io/news.html
臨時(shí)緩解措施：由于其他原因暫時(shí)無(wú)法升級(jí)到最新版本的用戶，可根據(jù)官方建議進(jìn)行加固。
鏈接如下：https://x-stream.github.io/security.html#example
相關(guān)推薦
- 數(shù)萬(wàn)人一起圍觀的產(chǎn)品開(kāi)箱
- 這一年，我們謄寫(xiě)安全“物”語(yǔ)
- 《個(gè)人信息保護(hù)法》背景下談?wù)勅绾巫R(shí)別App個(gè)人數(shù)據(jù)采集行為
- 與國(guó)家工信安全中心戰(zhàn)略簽約 安恒信息在2021工業(yè)信息安全大會(huì)上斬獲多項(xiàng)碩果
- 《個(gè)人信息保護(hù)法》背景下談?wù)勅绾巫R(shí)別App個(gè)人數(shù)據(jù)采集行為
- 《個(gè)人信息保護(hù)法》背景下談?wù)勅绾巫R(shí)別App個(gè)人數(shù)據(jù)采集行為
- 播種信任 耕耘時(shí)光 寄望未來(lái) | 2021安恒信息年度盤(pán)點(diǎn)
