XStream是一个开源的Java类库，它能够将对象序列化成XML或将XML反序列化为对象。

CVE-2020-26259: 任意文件删除漏洞

如果XStream服务有足够的权限，在XStream在反序列化数据时，攻击者可构造特定的XML/JSON请求，造成任意文件删除。

CVE-2020-26258: 服务端请求伪造漏洞

XStream的服务在反序列化数据时，攻击者可以操纵处理后的输入流并替换或注入对象，从而导致服务器端进行伪造请求。

攻击者可利用该漏洞删除任意文件，或服务端请求伪造。目前相关POC已公开。

XStream < 1.4.15

XStream >=1.4.15

XStream官方已发布安全版本，腾讯云安全建议您尽快升级XStream组件的web服务，避免影响业务。

下载链接：https://x-stream.github.io/changes.html#1.4.15

并建议配置XStream的安全框架为允许的类型使用白名单

【备注】：建议您在升级前做好数据备份工作，避免出现意外

腾讯 T-Sec Web应用防火墙（WAF）已支持拦截 XStream 反序列化漏洞（CVE-2020-26258/26259）

http://x-stream.github.io/CVE-2020-26258.html

http://x-stream.github.io/CVE-2020-26259.html

本文作者：云鼎实验室

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/149424.html