CVE-2022-41966
높음게시됨
스택 오버플로를 통한 XStream 서비스 거부
- 게시됨
- 2022. 12. 27.
- 업데이트됨
- 2025. 4. 11.
- CNA 할당 중
- GitHub_M
- 증거 관찰됨
- 2026. 8. 8.
기본 CVSS
8.2/ 10높음
취약성 카탈로그 로드 중
스택 오버플로를 통한 XStream 서비스 거부
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H낮음 · 다음 30일
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
XStream은 Java 객체를 XML로 직렬화하고 다시 역직렬화합니다. 1.4.20 이전 버전에서는 원격 공격자가 처리된 입력 스트림을 조작하는 것만으로 스택 오버플로 오류를 발생시켜 애플리케이션을 종료시킬 수 있으며, 이로 인해 서비스 거부가 발생할 수 있습니다. 이 공격은 컬렉션과 맵의 해시 코드 구현을 이용해 재귀적 해시 계산을 강제하여 스택 오버플로를 유발합니다. 이 문제는 1.4.20 버전에서 패치되었으며, 해당 버전은 스택 오버플로를 처리하는 대신 InputManipulationException을 발생시킵니다. HashMap 또는 HashSet만 사용하고 XML에서 이를 기본 맵 또는 셋으로만 참조하는 사용자를 위한 잠재적 해결 방법은 참조된 권고의 코드 예제에 따라 java.util.Map 및 java.util의 기본 구현을 변경하는 것입니다. 그러나 이는 애플리케이션이 맵의 구현에 신경 쓰지 않으며 모든 요소가 비교 가능함을 의미합니다.
# CVE-2022-41966 디버그 및 개념 증명 코드 Java의 XStream 역직렬화 취약점 악용을 시연하는 디버그 및 개념 증명 코드입니다.
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.