CVE-2022-41966
Denegación de servicio en XStream mediante desbordamiento de pila
- Publicado
- 27 dic 2022
- Actualizado
- 11 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:HBajo · próximos 30 días
- Percentil
- 95,0 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
XStream serializa objetos Java a XML y viceversa. Las versiones anteriores a la 1.4.20 pueden permitir que un atacante remoto finalice la aplicación con un error de desbordamiento de pila, lo que resulta en una denegación de servicio únicamente mediante la manipulación del flujo de entrada procesado. El ataque utiliza la implementación del código hash para colecciones y mapas para forzar el cálculo hash recursivo provocando un desbordamiento de la pila. Este problema se solucionó en la versión 1.4.20, que maneja el desbordamiento de la pila y genera una excepción InputManipulationException. Una posible solución para los usuarios que solo usan HashMap o HashSet y cuyo XML los refiere solo como mapa o conjunto predeterminado, es cambiar la implementación predeterminada de java.util.Map y java.util según el ejemplo de código en el aviso al que se hace referencia. Sin embargo, esto implica que a su aplicación no le importa la implementación del mapa y todos los elementos son comparables.
Fuentes
1Código de depuración y prueba de concepto para CVE-2022-41966, demostrando la explotación de la vulnerabilidad de deserialización XStream en Java.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.