腾讯蓝军安全通告：XStream修复14个安全漏洞

文｜腾讯蓝军

 1. 漏洞概述 

近日XStream官方发布重要安全更新，修复了14个安全漏洞，其中5个严重漏洞由TSRC向XStream官方报告，通过这些漏洞，攻击者构造特定的XML数据，可以绕过XStream的黑名单拦截，最终仅需依赖JDK库即可触发反序列化造成任意代码执行。

TSRC与XStream维护者多次探讨黑名单过滤修复方案的缺陷，目前XStream官方已将1.4.18版本修改成白名单过滤方式，建议大家及时更新到最新版以规避历史安全漏洞。

 2. 时间线 

2021/05

三位TSRC白帽子在研究XStream安全漏洞时，陆续发现存在多个黑名单绕过，随后立即向TSRC报告漏洞细节

2021/05

TSRC第一时间复现漏洞后，立即代白帽子们向XStream官方提交报告

2021/05

XStream官方确认漏洞报告

2021/05

鉴于黑名单存在持续被绕过的风险，TSRC与XStream维护者多次探讨黑名单过滤修复方案的缺陷后，XStream修改成白名单过滤方式

2021/08/22

XStream官方发布重要安全更新，修复14个安全漏洞