腾讯蓝军发布安全通告，XStream修复14个安全漏洞，包括5个严重漏洞。这些漏洞可能导致任意代码执行。官方已将1.4.18版本改为白名单过滤，建议用户升级以规避风险。TSRC白帽子发现并报告了漏洞，XStream在2021年8月22日发布安全更新。
文｜腾讯蓝军
1. 漏洞概述
近日XStream官方发布重要安全更新，修复了14个安全漏洞，其中5个严重漏洞由TSRC向XStream官方报告，通过这些漏洞，攻击者构造特定的XML数据，可以绕过XStream的黑名单拦截，最终仅需依赖JDK库即可触发反序列化造成任意代码执行。
TSRC与XStream维护者多次探讨黑名单过滤修复方案的缺陷，目前XStream官方已将1.4.18版本修改成白名单过滤方式，建议大家及时更新到最新版以规避历史安全漏洞。
2. 时间线
2021/05
三位TSRC白帽子在研究XStream安全漏洞时，陆续发现存在多个黑名单绕过，随后立即向TSRC报告漏洞细节
2021/05
TSRC第一时间复现漏洞后，立即代白帽子们向XStream官方提交报告
2021/05
XStream官方确认漏洞报告
2021/05
鉴于黑名单存在持续被绕过的风险，TSRC与XStream维护者多次探讨黑名单过滤修复方案的缺陷后，XStream修改成白名单过滤方式
2021/08/22
XStream官方发布重要安全更新，修复14个安全漏洞
最低0.47元/天 解锁文章
扫一扫
368
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
