Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-05508

Опубликовано: 01 фев. 2022
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость Java-библиотеки для преобразования объектов в XML или JSON формат Xstream связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
Fedora Project
Novell Inc.
Xstream Project
IBM Corp.
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
OpenShift Container Platform
Jboss Fuse
Red Hat Descision Manager
CodeReady Studio
Data Grid
Fedora
Red Hat Integration Camel K
OpenSUSE Leap
Red Hat Integration Camel Quarkus
Red Hat Integration
XStream
IBM QRadar SIEM
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
3.11 (OpenShift Container Platform)
7 (Jboss Fuse)
10 (Debian GNU/Linux)
7 (Red Hat Descision Manager)
4 (OpenShift Container Platform)
6 (Jboss Fuse)
12 (CodeReady Studio)
8 (Data Grid)
34 (Fedora)
- (Red Hat Integration Camel K)
15.3 (OpenSUSE Leap)
- (Red Hat Integration Camel Quarkus)
11 (Debian GNU/Linux)
35 (Fedora)
- (Red Hat Integration)
до 1.4.19 (XStream)
от 7.3 до 7.3.3 Fix Pack 12 (IBM QRadar SIEM)
от 7.4 до 7.4.3 Fix Pack 6 (IBM QRadar SIEM)
от 7.5 до 7.5.0 Update Pack 2 (IBM QRadar SIEM)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Программное средство защиты

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 34
Novell Inc. OpenSUSE Leap 15.3
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Fedora Project Fedora 35
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Xstream:
https://github.com/x-stream/xstream/security/advisories/GHSA-rmr5-cpv2-vgjf
https://x-stream.github.io/CVE-2021-43859.html
https://github.com/x-stream/xstream/commit/e8e88621ba1c85ac3b8620337dd672e0c0c3a846
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-43859
https://lists.debian.org/debian-lts-announce/2022/02/msg00018.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2021-43859
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-43859.html
Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6614725
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libxstream-java до версии 1.4.11.1-1+deb9u5

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 83%
0.0188
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 4 лет назад

XStream is an open source java library to serialize objects to XML and back again. Versions prior to 1.4.19 may allow a remote attacker to allocate 100% CPU time on the target system depending on CPU type or parallel execution of such a payload resulting in a denial of service only by manipulating the processed input stream. XStream 1.4.19 monitors and accumulates the time it takes to add elements to collections and throws an exception if a set threshold is exceeded. Users are advised to upgrade as soon as possible. Users unable to upgrade may set the NO_REFERENCE mode to prevent recursion. See GHSA-rmr5-cpv2-vgjf for further details on a workaround if an upgrade is not possible.

CVSS3: 7.5
redhat
около 4 лет назад

XStream is an open source java library to serialize objects to XML and back again. Versions prior to 1.4.19 may allow a remote attacker to allocate 100% CPU time on the target system depending on CPU type or parallel execution of such a payload resulting in a denial of service only by manipulating the processed input stream. XStream 1.4.19 monitors and accumulates the time it takes to add elements to collections and throws an exception if a set threshold is exceeded. Users are advised to upgrade as soon as possible. Users unable to upgrade may set the NO_REFERENCE mode to prevent recursion. See GHSA-rmr5-cpv2-vgjf for further details on a workaround if an upgrade is not possible.

CVSS3: 7.5
nvd
около 4 лет назад

XStream is an open source java library to serialize objects to XML and back again. Versions prior to 1.4.19 may allow a remote attacker to allocate 100% CPU time on the target system depending on CPU type or parallel execution of such a payload resulting in a denial of service only by manipulating the processed input stream. XStream 1.4.19 monitors and accumulates the time it takes to add elements to collections and throws an exception if a set threshold is exceeded. Users are advised to upgrade as soon as possible. Users unable to upgrade may set the NO_REFERENCE mode to prevent recursion. See GHSA-rmr5-cpv2-vgjf for further details on a workaround if an upgrade is not possible.

CVSS3: 7.5
debian
около 4 лет назад

XStream is an open source java library to serialize objects to XML and ...

suse-cvrf
почти 4 года назад

Security update for xstream

EPSS

Процентиль: 83%
0.0188
Низкий

7.5 High

CVSS3

7.8 High

CVSS2