CVE-2020-26259

概要

XStreamは、オブジェクトをXMLにシリアライズし、またXMLからオブジェクトに戻すためのJavaライブラリです。バージョン1.4.15より前のXStreamは、アンマーシャリング時にローカルホスト上で任意のファイル削除が可能となる脆弱性があります。この脆弱性により、リモートの攻撃者は、処理される入力ストリームを操作するだけで、実行中のプロセスが十分な権限を持っている限り、ホスト上の任意の既知ファイルを削除できる可能性があります。 XStreamのセキュリティフレームワークのデフォルトのブラックリストに依存している場合は、少なくともバージョン1.4.15を使用する必要があります。報告された脆弱性は、Java 15以降で実行する場合には存在しません。XStreamのセキュリティフレームワークをホワイトリストで設定するという推奨事項に従ったユーザーは、影響を受けません。 XStreamのデフォルトのブラックリストに依存している人は、許可するタイプのホワイトリストに直ちに切り替えることで、この脆弱性を回避できます。XStream 1.4.14以下のユーザーで、XStreamのデフォルトのブラックリストを引き続き使用したい場合は、参照されているアドバイザリで詳しく説明されている回避策を使用できます。

• CVE-2020-26259PoC

  CVE-2020-26259 &&XStream 任意のファイル削除

• xstream-CVE-2020-26259エクスプロイト

  CVE-2020-26259のエクスプロイト、XStreamにおけるデシリアライゼーションの脆弱性で、細工されたXML入力により遠隔コード実行を可能にします。

• CVE-2020-26259PoC

  CVE-2020-26259: XStreamは、実行プロセスが十分な権限を持っている限り、アンマーシャリング時にローカルホスト上の任意のファイル削除に対して脆弱です。