CVE-2020-26259

Zusammenfassung

XStream ist eine Java-Bibliothek zum Serialisieren von Objekten in XML und zurück. XStream vor Version 1.4.15 ist beim Unmarshalling anfällig für eine beliebige Dateilöschung (Arbitrary File Deletion) auf dem lokalen Host. Die Schwachstelle kann es einem entfernten Angreifer ermöglichen, beliebige bekannte Dateien auf dem Host zu löschen, sofern der ausführende Prozess über ausreichende Rechte verfügt – und zwar nur durch Manipulation des verarbeiteten Eingabestreams. Wenn Sie sich auf die Standard-Blacklist des Sicherheitsframeworks von XStream verlassen, müssen Sie mindestens Version 1.4.15 verwenden. Die gemeldete Schwachstelle besteht bei Java 15 oder höher nicht. Kein Benutzer ist betroffen, der der Empfehlung gefolgt ist, das Sicherheitsframework von XStream mit einer Whitelist einzurichten! Jeder, der sich auf die Standard-Blacklist von XStream verlässt, kann sofort auf eine Whitelist für die zulässigen Typen umstellen, um die Schwachstelle zu vermeiden. Benutzer von XStream 1.4.14 oder niedriger, die weiterhin die Standard-Blacklist von XStream verwenden möchten, können einen Workaround nutzen, der in den referenzierten Advisories detaillierter beschrieben wird.

• CVE-2020-26259PoC

  CVE-2020-26259 &&XStream Willkürliches Löschen von Dateien

• xstream-CVE-2020-26259Exploit

  Exploit für CVE-2020-26259, eine Deserialisierungsschwachstelle in XStream, die über manipulierte XML-Eingabe eine Remote-Code-Ausführung ermöglicht.