CVE-2022-41966
XStream رفض الخدمة عبر تجاوز سعة المكدس
- تم النشر
- 27/12/2022
- محدث
- 11/04/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 95.2%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يسلسل XStream كائنات Java إلى XML ويعيدها مرة أخرى. قد تسمح الإصدارات السابقة للإصدار 1.4.20 لمهاجم عن بُعد بإنهاء التطبيق بخطأ تجاوز سعة المكدس، مما يؤدي إلى حرمان من الخدمة فقط عبر التلاعب بتيار الإدخال المعالج. يستخدم الهجوم تطبيق رمز التجزئة للمجموعات والخرائط لفرض حساب تجزئة متكرر يسبب تجاوز سعة المكدس. تم إصلاح هذه المشكلة في الإصدار 1.4.20 الذي يعالج تجاوز سعة المكدس ويُثير استثناء InputManipulationException بدلاً من ذلك. الحل البديل المحتمل للمستخدمين الذين يستخدمون HashMap أو HashSet فقط والذين يشير XML الخاص بهم إلى هذه فقط كخريطة أو مجموعة افتراضية، هو تغيير التطبيق الافتراضي لـ java.util.Map و java.util وفقًا لمثال الكود في الاستشارة المشار إليها. ومع ذلك، فإن هذا يعني أن تطبيقك لا يهتم بتطبيق الخريطة وأن جميع العناصر قابلة للمقارنة.
المصادر
رمز تصحيح وإثبات المفهوم لـ CVE-2022-41966، يوضح استغلال ثغرة إلغاء تسلسل XStream في Java.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.