搜索

[20386] 2020-11-17_XStream远程执行代码CVE-2020-26217

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-11-17_XStream远程执行代码CVE-2020-26217 X S t r e a m 远 程 执 行 代 码 C V E - 2 0 2 0 - 2 6 2 1 7 客 服   K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 1 - 1 7 受 影 响 的 版 本 受 影 响 的 版 本 如 果 使 用 开 箱 即 用 的 版 本 ， 则 直 到 及 包 括 1 . 4 . 1 3 版 的 所 有 版 本 均 会 受 到 影 响 。 没 有 用 户 受 到 影 响 ， 他 们 遵 循 该 建 议 以 白 名 单 设 置 X S t r e a m 的 安 全 框 架 。 描 述 描 述 在 解 组 时 处 理 的 流 包 含 类 型 信 息 ， 以 重 新 创 建 以 前 写 入 的 对 象 。 因 此 ， X S t r e a m 基 于 这 些 类 型 信 息 创 建 新 的 实 例 。 攻 击 者 可 以 操 纵 已 处 理 的 输 入 流 ， 并 替 换 或 注 入 可 以 执 行 任 意 s h e l l 命 令 的 对 象 。 此 问 题 是 C V E - 2 0 1 3 - 7 2 8 5 的 变 体 ， 这 次 使 用 的 是 J a v a 运 行 时 环 境 的 不 同 类 集 ， 这 些 类 都 不 是 X S t r e a m 默 认 黑 名 单 的 一 部 分 。 已 经 在 C V E - 2 0 1 7 - 9 8 0 5 中 针 对 S t r u t 的 X S t r e a m 插 件 报 告 了 相 同 的 问 题 ， 但 是 X S t r e a m 项 目 从 未 得 到 有 关 此 问 题 的 通 知 。 h t t p s : / / x - s t r e a m . g i t h u b . i o / C V E - 2 0 2 0 - 2 6 2 1 7 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理