CVE-2020-26258

요약

XStream은 객체를 XML로 직렬화하고 다시 되돌리는 Java 라이브러리입니다. 1.4.15 이전 버전의 XStream에서는 역직렬화(unmarshalling) 시 서버 측 요청 위조(Server-Side Forgery Request) 취약점이 활성화될 수 있습니다. 이 취약점으로 인해 원격 공격자는 처리된 입력 스트림을 조작하는 것만으로 공개적으로 이용할 수 없는 내부 리소스에서 데이터를 요청할 수 있습니다. XStream Security Framework의 기본 블랙리스트에 의존하는 경우 최소 1.4.15 버전을 사용해야 합니다. Java 15 이상을 실행하는 경우 보고된 취약점은 존재하지 않습니다. XStream Security Framework를 화이트리스트로 설정하라는 권장 사항을 따른 사용자는 영향을 받지 않습니다! XStream의 기본 블랙리스트에 의존하는 모든 사용자는 허용 유형에 대한 화이트리스트로 즉시 전환하여 이 취약점을 피할 수 있습니다. 여전히 XStream 기본 블랙리스트를 사용하려는 XStream 1.4.14 이하 사용자는 참조된 권고에서 더 자세히 설명된 해결 방법(workaround)을 사용할 수 있습니다.

• CVE-2020-26258PoC

  CVE-2020-26258 && XStream SSRF

• xstream-CVE-2020-26258PoC

  CVE-2020-26258에 대한 개념 증명 익스플로잇, XStream XML 직렬화 라이브러리의 서버 측 요청 위조 취약점으로, 인증되지 않은 원격 코드 실행을 가능하게 합니다.

• CVE-2020-26259PoC

  CVE-2020-26259: XStream은 역직렬화 시 로컬 호스트에서 임의 파일 삭제에 취약하며, 실행 중인 프로세스가 충분한 권한을 가지고 있는 한 가능합니다.