CVE-2020-26259

总结

XStream 是一个用于将对象序列化为 XML 并可反向转换的 Java 库。在 1.4.15 之前的 XStream 版本中，反序列化时存在本地主机上的任意文件删除漏洞。该漏洞可能允许远程攻击者仅通过操纵所处理的输入流，即可在进程具有足够权限的情况下删除主机上任意已知文件。如果您依赖 XStream 安全框架的默认黑名单，则必须至少使用 1.4.15 版本。所报告的漏洞在运行 Java 15 或更高版本时不存在。凡遵循建议使用白名单配置 XStream 安全框架的用户均不受影响！任何依赖 XStream 默认黑名单的用户都可以立即改为对允许类型使用白名单以避免该漏洞。仍希望使用 XStream 默认黑名单的 XStream 1.4.14 或更低版本用户，可以使用所引用公告中更详细描述的一种变通方法。

来源

• CVE-2020-26259PoC

  CVE-2020-26259 &&XStream 任意文件删除

• xstream-CVE-2020-26259漏洞利用

  Exploit for CVE-2020-26259，针对 XStream 反序列化漏洞，通过构造恶意的 XML 输入实现远程代码执行。

• CVE-2020-26259PoC

  CVE-2020-26259：XStream在反序列化时，只要执行进程拥有足够的权限，就容易受到本地主机上任意文件删除的影响。