CVE-2021-29505:XStream远程代码执行漏洞通告

报告编号:B6-2021-051703

报告来源:360CERT

报告作者:360CERT

更新日期:2021-05-17

1

漏洞简述

2021年05月17日,360CERT监测发现XStream官网发布了XStream安全更新,漏洞编号为CVE-2021-29505,漏洞等级:严重,漏洞评分:9.8

XStream是一种OXMapping技术,是用来处理XML文件序列化的框架,在将javaBean序列化,或将XML文件反序列化的时候,不需要其它辅助类和映射文件,使得XML序列化不再繁琐。

对此,360CERT建议广大用户及时将XStream升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

2

风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级严重
影响面广泛
360CERT评分9.8

3

漏洞详情

CVE-2021-29505: 代码执行漏洞

CVE: CVE-2021-29505

组件: XStream

漏洞类型: 代码执行

影响: 服务器接管

简述: 攻击者可以操纵已处理的输入流并替换或注入对象,从而执行从远程服务器加载的任意代码。

4

影响版本

- XStream: <=1.4.16

5

修复建议

通用修补建议

建议直接更新到最新版本

XStream官方下载地址

https://x-stream.github.io/download.html

6

产品侧解决方案

360AISA全流量威胁分析系统

针对微软本次安全更新,360AISA已基于流量侧提供对应检测能力更新,请AISA用户联系techsupport@360.cn获取更新,尽快升级检测引擎和规则,做好安全防护工作。

图片

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

图片

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段,对该类漏洞的利用进行实时检测和阻断,请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

图片

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台,实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测,请及时更新网络神经元(探针)规则和本地安全大脑关联分析规则,做好防护。

图片

7

时间线

2021-05-13 XStream发布安全更新

2021-05-17 360CERT发布通告

8

参考链接

1、 CVE-2021-29505

http://x-stream.github.io/CVE-2021-29505.html

9

特制报告下载链接

一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

CVE-2021-29505:XStream远程代码执行漏洞通告

http://certdl.qihucdn.com/cert-public-file/【360CERT】CVE-2021-29505_XStream远程代码执行漏洞通告.pdf

若有订阅意向与定制需求请扫描下方二维码进行信息填写,或发送邮件至g-cert-report#360.cn ,并附上您的 公司名、姓名、手机号、地区、邮箱地址。

图片

转载自https://mp.weixin.qq.com/s/CKlmXf2MDcNEIMehQcVesw

admin-r꯭o꯭ot꯭ 系统安全 web安全 安全架构
个人公众号:爱国小白帽
推送技术原创及好用的安全工具
因为我也是小白所以文章没啥深度,很适合小白学习,有问题可以一起探讨哦
相关推荐