CVE-2020-26259

요약

XStream은 객체를 XML로 직렬화하고 다시 되돌리는 Java 라이브러리입니다. 1.4.15 이전 버전의 XStream은 역직렬화(unmarshalling) 시 로컬 호스트에서 임의 파일 삭제(Arbitrary File Deletion) 취약점에 노출됩니다. 이 취약점으로 인해 원격 공격자는 실행 중인 프로세스에 충분한 권한이 있는 한, 처리되는 입력 스트림을 조작하는 것만으로 호스트의 임의의 알려진 파일을 삭제할 수 있습니다. XStream 보안 프레임워크의 기본 블랙리스트에 의존하는 경우 최소 버전 1.4.15를 사용해야 합니다. 보고된 취약점은 Java 15 이상에서 실행할 때는 존재하지 않습니다. XStream 보안 프레임워크를 화이트리스트로 설정하라는 권장 사항을 따른 사용자는 영향을 받지 않습니다! XStream의 기본 블랙리스트에 의존하는 사람은 허용 유형에 대해 화이트리스트로 즉시 전환하여 취약점을 피할 수 있습니다. XStream 1.4.14 이하를 사용하면서 여전히 XStream 기본 블랙리스트를 사용하려는 사용자는 참조된 권고에서 더 자세히 설명된 해결 방법(workaround)을 사용할 수 있습니다.

• CVE-2020-26259PoC

  CVE-2020-26259 &&XStream 임의 파일 삭제

• xstream-CVE-2020-26259익스플로잇

  CVE-2020-26259에 대한 익스플로잇으로, XStream의 역직렬화 취약점으로, 조작된 XML 입력을 통해 원격 코드 실행을 가능하게 합니다.

• CVE-2020-26259PoC

  CVE-2020-26259: XStream은 역직렬화 시 로컬 호스트에서 임의 파일 삭제에 취약하며, 실행 중인 프로세스가 충분한 권한을 가지고 있는 한 가능합니다.