CVE-2021-21349 XStream SSRF

Anuncio Oficial de XStream

CVE-2021-21349

Vulnerabilidad

CVE-2021-21349: Se puede activar una solicitud de falsificación del lado del servidor al realizar unmarshalling con XStream para acceder a flujos de datos desde una URL arbitraria que haga referencia a un recurso en una intranet o en el host local.

Versiones Afectadas

Todas las versiones hasta la 1.4.15 inclusive están afectadas si se utiliza la versión tal cual viene de fábrica. Ningún usuario que haya seguido la recomendación de configurar el marco de seguridad de XStream con una lista blanca limitada a los tipos mínimos requeridos está afectado.

Descripción

El flujo procesado en el momento del unmarshalling contiene información de tipos para recrear los objetos anteriormente escritos. XStream crea, por tanto, nuevas instancias basadas en esta información de tipos. Un atacante puede manipular el flujo de entrada procesado y reemplazar o inyectar objetos, lo que da como resultado una solicitud de falsificación del lado del servidor.

Demostración con Docker

Configuración del Entorno de XStream y Ejecución del PoC

1. Construir una imagen a partir de un Dockerfile (Configuración)

$ docker build -t cve-2021-21349 .

2. Ejecutar el servidor HTTP

$ python -m http.server 8080

3. Ejecutar java -jar xstream en un contenedor nuevo (Ejecución del PoC)

$ docker run -it --rm cve-2021-21349

Salida

Serving HTTP on :: port 8080 (http://[::]:8080/) ...
::ffff:127.0.0.1 - - [05/May/2021 16:35:39] "GET /internal.txt HTTP/1.1" 200 -

Solución

• Actualizar la versión de XStream a 1.4.16 o superior

Cambiar pom.xml a lo siguiente

        <dependency>
            <groupId>com.thoughtworks.xstream</groupId>
            <artifactId>xstream</artifactId>
            <version>1.4.16</version>
        </dependency>

• Utilizar el marco de seguridad de XStream

Añadir NoTypePermission.NONE

import com.thoughtworks.xstream.security.NoTypePermission; // Add

XStream xstream = new XStream();
xstream.addPermission(NoTypePermission.NONE); // Add
xstream.fromXML(xml);