CVE-2022-41966

概要

XStreamはJavaオブジェクトをXMLにシリアライズし、またXMLから復元します。1.4.20より前のバージョンでは、リモートの攻撃者が処理された入力ストリームを操作することによってのみ、スタックオーバーフローエラーでアプリケーションを終了させ、サービス拒否（DoS）を引き起こす可能性があります。この攻撃は、コレクションとマップのハッシュコード実装を利用して再帰的なハッシュ計算を強制し、スタックオーバーフローを引き起こします。この問題はバージョン1.4.20で修正されており、スタックオーバーフローを処理して代わりにInputManipulationExceptionを発生させます。HashMapまたはHashSetのみを使用し、XMLがこれらをデフォルトのマップまたはセットとしてのみ参照するユーザー向けの潜在的な回避策は、参照されているアドバイザリのコード例に従ってjava.util.Mapおよびjava.utilのデフォルト実装を変更することです。ただし、これはアプリケーションがマップの実装を気にせず、すべての要素が比較可能であることを意味します。

• Xstream_cve-2022-41966PoC

  CVE-2022-41966のデバッグおよび概念実証コード。JavaにおけるXStreamの逆シリアライゼーションの脆弱性の悪用を実証します。