XStream是一个常用的Java对象和XML相互转换的工具。8月23日 XStream官方发布安全更新，修复了多个XStream云安 Java序列化库中发现的执行任意代码等重要漏洞。以下是漏洞详情：

漏洞详情

来源: https://x-stream.github.i全日o/security.html?spm=a2c4g.11174386.n2.4.46ea4c07mtuihO#workaround

1.CV报2E-2021-39139 严重程度: 重要

XStream 容易受到任意代码执行攻击。解组时处理的流包含类型信息以重新创建以前编写的对象。XSt10ream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

2.CVE82-2021-39140 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击3：者可以操纵处理过的输入流并替换或注入对象，这会导致无限循环，可能导致拒绝服务。

3.CVE-2021-39141 严重程度: 重要

解组时XS处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或tr注入对象，从而执行从远程服务器加载的任意代码。

4.CVE-2021-39144 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前ea编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象，从而在服务器上执行本地命令。

5.Cm VE-2021-39150 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例Ja。攻击者可以操纵处理后的输入流并替换或注入对象，从而导致服务器端伪造请求。

受影响的产品和版本

XStream 1.4.17及更早版本

解决方案

XvaStream官方已发布安全更新,升级XStream 1.4.18版本可修复

查看更多漏洞信息 以及升级请访问官网：

https://x-序列stream.github.io/security.html?spm=a2c4g.11174386.n2.4.54c11051CEr2c化库6#workaround

• ·标签: 月之暗面 Kimi 杨植麟 AGI
• ·亚马逊云科技re:Inforce 2023强调安全服务的AI赋能
• ·Facebook高管解读2021年Q1财报：发力电商，继续成为最好的广告平台
• ·腾讯投资的“美版贴吧”Reddit已在纽交所上市 收盘价较发行价上涨48%
• ·标签: RoboScience VLOA 具身智能 机器人
• ·云原生 Etcd 系列之Quorum 和唱票那回事
• ·Facebook高管解读2021年Q1财报：发力电商，继续成为最好的广告平台
• ·标签: 抖音 打假 测评 揭黑
• ·标签: Keep Kaka 运动科技 健身APP
• ·用一个密钥，打开全球AI的能力边界 ——我们正在打造面向未来的“全球AI聚合网关”
• ·6588 元起，微软全新 Surface Pro 7+ 商用版正式发售
• ·Facebook吹哨人将参加国情咨文演讲
• ·亚马逊特拉华仓库新员工将获3000美元签约奖金 并与机器人一起工作
• ·标签: 段永平 特斯拉 网易 茅台
• ·从实验到实施：人工智能如何证明其在金融服务中的价值
• ·云计算核心技术Docker教程：Docker Hub禁用漏洞扫描和修复漏洞