CVE-2020-26258

Zusammenfassung

XStream ist eine Java-Bibliothek zum Serialisieren von Objekten in XML und zurück. In XStream vor Version 1.4.15 kann beim Unmarshalling eine Server-Side-Forgery-Request-Schwachstelle aktiviert werden. Die Schwachstelle kann es einem entfernten Angreifer ermöglichen, Daten von internen Ressourcen anzufragen, die nicht öffentlich verfügbar sind, indem er lediglich den verarbeiteten Eingabestrom manipuliert. Wenn Sie sich auf die Standard-Blacklist des Security Frameworks von XStream verlassen, müssen Sie mindestens Version 1.4.15 verwenden. Die gemeldete Schwachstelle besteht nicht, wenn Java 15 oder höher ausgeführt wird. Kein Benutzer ist betroffen, der der Empfehlung gefolgt ist, das Security Framework von XStream mit einer Whitelist einzurichten! Jeder, der sich auf die Standard-Blacklist von XStream verlässt, kann sofort auf eine Whitelist für die erlaubten Typen umsteigen, um die Schwachstelle zu vermeiden. Benutzer von XStream 1.4.14 oder niedriger, die weiterhin die Standard-Blacklist von XStream verwenden möchten, können einen Workaround nutzen, der in den referenzierten Advisories genauer beschrieben ist.

• CVE-2020-26258PoC

  CVE-2020-26258 && XStream SSRF

• xstream-CVE-2020-26258PoC

  Proof-of-Concept-Exploit für CVE-2020-26258, eine Server-Side-Request-Forgery-Schwachstelle in der XStream-XML-Serialisierungsbibliothek, die eine nicht authentifizierte Remote-Codeausführung ermöglicht.