CVE-2020-26217
YüksekTeknik Veri (Otomatik)
- CVSS Skoru
- 8
- EPSS
- 85.0%
- CWE
- CWE-78
- KEV Durumu
- Hayır
Yayım tarihi: 16 Kasım 2020
Etkilenen: xstream xstream
XStream 1.4.14 sürümünden önceki sürümler Uzaktan Kod Yürütme'ye karşı savunmasızdır. Zafiyet, bir saldırganın işlenen girdi akışını manipüle ederek keyfi kabuk komutlarını çalıştırmasına olanak tanıyabilir. Sadece engelleme listelerine güvenen kullanıcılar etkilenmektedir. XStream Güvenlik Çerçevesi izin listesini kullananlar etkilenmez. Bağlantılı danışmanlık, yükseltme yapamayan kullanıcılar için kod geçici çözümleri sağlar. Sorun 1.4.14 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
XStream before version 1.4.14 is vulnerable to Remote Code Execution.The vulnerability may allow a remote attacker to run arbitrary shell commands only by manipulating the processed input stream. Only users who rely on blocklists are affected. Anyone using XStream's Security Framework allowlist is not affected. The linked advisory provides code workarounds for users who cannot upgrade. The issue is fixed in version 1.4.14.
Referanslar
- https://github.com/x-stream/xstream/commit/0fec095d534126931c99fd38e9c6d41f5c685c1a
- https://github.com/x-stream/xstream/security/advisories/GHSA-mw36-7c6c-q4q2
- https://lists.apache.org/thread.html/r2de526726e7f4db4a7cb91b7355070779f51a84fd985c6529c2f4e9e%40%3Cissues.activemq.apache.org%3E
- https://lists.apache.org/thread.html/r7c9fc255edc0b9cd9567093d131f6d33fde4c662aaf912460ef630e9%40%3Ccommits.camel.apache.org%3E
- https://lists.apache.org/thread.html/r826a006fda71cc96fc87b6eca4b5d195f19a292ad36cea501682c38c%40%3Cissues.activemq.apache.org%3E
- https://lists.apache.org/thread.html/redde3609b89b2a4ff18b536a06ef9a77deb93d47fda8ed28086fa8c3%40%3Cissues.activemq.apache.org%3E
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.