• AG旗舰厅官方网站

      安全漏洞

      安全漏洞补丁公告

      当前位置  >  首页  >  服务支持  >  安全漏洞  >  安全漏洞补丁公告

      公告ID（KYSA-202105-0008）

      摘要：libxstream-java安全漏洞 安全等级：中等 公告ID：KYSA-202105-0008 发布日期：2021-05-31 影响CVE：CVE-2021-21350，CVE-2021-21351，CVE-2021-21349，CVE-2021-21348，CVE-2021-21347，CVE-2021-21346，CVE-2021-21345，CVE-2021-21344等等

      详细介绍

      1. 修复的CVE信息

      • CVE-2021-21350

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，攻击者可利用该漏洞仅通过操作已处理的输入流来执行任意代码。

      • CVE-2021-21351

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，攻击者可利用该漏洞仅通过操作已处理的输入流来加载和执行远程主机上的任意代码。

      • CVE-2021-21349

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，该漏洞源于WEB应用未充分验证请求是否来自可信用户。攻击者可利用该漏洞通过受影响客户端向服务器发送非预期的请求。

      • CVE-2021-21348

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，该漏洞允许远程攻击者可以利用这个漏洞来消耗最大的CPU时间。

      • CVE-2021-21347

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16之前版本存在代码问题漏洞，该漏洞允许远程攻击者仅通过操作已处理的输入流，就可以从远程主机加载和执行任意代码。

      • CVE-2021-21346

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，该漏洞源于远程攻击者仅通过操作已处理的输入流，就可以从远程主机加载和执行任意代码。

      • CVE-2021-21345

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，攻击者可利用该漏洞仅通过操作已处理的输入流来执行主机的命令。

      • CVE-2021-21344

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream before version 1.4.16 存在代码问题漏洞，该漏洞允许远程攻击者可利用该漏洞仅通过操作已处理的输入流，就可以从远程主机加载和执行任意代码。

      • CVE-2021-21343

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在安全漏洞，攻击者可利用该漏洞可以操纵已处理的输入流并替换或注入对象，从而导致本地主机上的文件被删除。

      • CVE-2021-21342

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 存在代码问题漏洞，攻击者可利用该漏洞可以操纵已处理的输入流并替换或注入对象，从而导致服务器端伪造请求。

      • CVE-2021-21341

        XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。XStream 1.4.16 之前版本存在代码问题漏洞，该漏洞允许远程攻击者根据CPU类型或此类有效负载的并行执行，导致拒绝服务。


      2. 受影响的软件包

      • 银河麒麟桌面操作系统V10 SP1

        libxstream-java


      3. 影响的操作系统

      银河麒麟桌面操作系统V10 SP1

      4. 修复版本

      • 软件包：libxstream-java

        1.4.11.1-1kylin0.2(V10 SP1)


      5. 修复方法

      方法一：配置源进行升级安装

      打开软件包源配置文件，根据仓库地址进行修改。

      4.0.2桌面版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 4.0.2-desktop main restricted universe multiverse

      4.0.2-sp1桌面版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 4.0.2sp1-desktop main restricted universe multiverse

      4.0.2-sp2桌面版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 4.0.2sp2-desktop main restricted universe multiverse

      4.0.2-sp3桌面版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 4.0.2sp3-desktop main restricted universe multiverse

      4.0.2-sp4桌面版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 4.0.2sp4-desktop main restricted universe multiverse

      10.0版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 10.0 main restricted universe multiverse

      10SP1版本：http://archive.cyjm16888.com/kylin/KYLIN-ALL 10.1 main restricted universe multiverse

      配置完成后执行更新命令进行升级。$sudo apt update

      方法二：下载安装包进行升级安装

      通过软件包地址下载软件包，使用软件包升级命令根据受影响的组件包列表 升级相关的组件包。$dpkg -i Packagelists


      6. 软件包下载地址

      • 银河麒麟桌面操作系统V10 SP1

        X86下载地址：http://archive.cyjm16888.com/kylin/KYLIN-ALL/pool/universe/libx/libxstream-java/libxstream-java_1.4.11.1-1kylin0.2_all.deb



      上一篇： KYSA-202105-0007 下一篇： KYSA-202105-0009

      试用

      服务

      动态

      联系