CVE-2021-21349 ثغرة SSRF في XStream

الإعلان الرسمي من XStream

CVE-2021-21349

الثغرة

CVE-2021-21349: يمكن تفعيل طلب تزوير من جانب الخادم عند إلغاء التجميع باستخدام XStream للوصول إلى تدفقات بيانات من أي URL يشير إلى مورد في شبكة داخلية أو المضيف المحلي.

الإصدارات المتأثرة

جميع الإصدارات حتى الإصدار 1.4.15 وما يليه متأثرة، إذا تم استخدام الإصدار الإفتراضي. لا يتأثر أي مستخدم اتبع التوصية بإعداد إطار الأمان الخاص بـ XStream بقائمة بيضاء (whitelist) مقتصرة على الحد الأدنى من الأنواع المطلوبة.

الوصف

يحتوي التدفق المعالج في وقت إلغاء التجميع على معلومات النوع لإعادة إنشاء الكائنات المكتوبة سابقًا. لذلك، يقوم XStream بإنشاء حالات (instances) جديدة بناءً على هذه المعلومات. يمكن للمهاجم التلاعب بتدفق الإدخال المعالج واستبدال أو إدخال كائنات، مما يؤدي إلى طلب تزوير من جانب الخادم.

تجربة Docker

إعداد بيئة XStream وتنفيذ الإثبات (PoC)

1. بناء صورة من ملف Dockerfile (الإعداد)

$ docker build -t cve-2021-21349 .

2. تشغيل خادم HTTP

$ python -m http.server 8080

3. تشغيل java -jar xstream في حاوية جديدة (تنفيذ الإثبات)

$ docker run -it --rm cve-2021-21349

الإخراج

Serving HTTP on :: port 8080 (http://[::]:8080/) ...
::ffff:127.0.0.1 - - [05/May/2021 16:35:39] "GET /internal.txt HTTP/1.1" 200 -

الحل

• تحديث إصدار xstream إلى 1.4.16 أو أعلى

تعديل pom.xml كما يلي

        <dependency>
            <groupId>com.thoughtworks.xstream</groupId>
            <artifactId>xstream</artifactId>
            <version>1.4.16</version>
        </dependency>

• استخدام إطار الأمان الخاص بـ XStream

إضافة NoTypePermission.NONE

import com.thoughtworks.xstream.security.NoTypePermission; // Add

XStream xstream = new XStream();
xstream.addPermission(NoTypePermission.NONE); // Add
xstream.fromXML(xml);