登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202302/1782227_30003_0.htm

XStream 拒绝服务漏洞通告(CVE-2022-41966)

【发布时间：2023-02-20】

威胁预警团队

2022/12/29


1. 漏洞综述

1.1 漏洞背景

XStream是一套简洁易用的开源Java类库，可以将Java对象序列化成XML (JSON)或将XML反序列化为对象。XStream支持对所有基础类型（包括数组、集合等）的直接转换，因此常用于数据交换、对象序列化。

1.2 漏洞详情

在XStream 1.4.20之前的版本中存在堆栈溢出漏洞，远程攻击者可通过向服务器发送特制的xml文件注入递归集合或基于元素的哈希值映射，来实现递归计算造成堆栈溢出，并有可能终止应用程序进而导致应用拒绝服务。

2. 影响范围

XStream < 1.4.20

3. 严重等级

威胁等级

高危

影响程度

广泛

利用价值

高

利用难度

高

漏洞评分

8.2

4. 处置方法

4.1 官方补丁

目前XStream官方已发布安全版本修复该漏洞，受影响用户可以升级到XStream 1.4.20或更高版本。官方链接：https://x-stream.github.io/download.html

4.2 新华三解决方案

1、新华三安全设备防护方案

新华三IPS规则库将在1.0.224版本支持对该漏洞的识别，新华三全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。

2、新华三态势感知解决方案

新华三态势感知已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。

3、新华三云安全能力中心解决方案

新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。

5. 参考链接

https://github.com/x-stream/xstream/security/advisories/GHSA-j563-grx4-pjpv

https://x-stream.github.io/CVE-2022-41966.html

新华三官网
联系我们