XStream 反序列化漏洞 CVE-2021-39144 已亲自复现

本文主要是介绍XStream 反序列化漏洞 CVE-2021-39144 已亲自复现，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

漏洞名称

漏洞描述

在Unmarshalling Time处包含用于重新创建前一对象的类型信息。XStream基于这些类型的信息创建新实例。攻击者可以控制输入流并替换或注入对象，这会导致在服务器上执行本地命令。

影响版本

XStream <= 1.4.17

漏洞复现

环境搭建

受害者IP：192.168.63.129:28139
攻击者IP：192.168.63.1

没有找到CVE-2021-39144的复现环境，因存在漏洞的版本小于1.4.17，于是使用1.4.16版本的环境进行测试。
vulfocus下载链接–xstream 远程代码执行 （CVE-2021-29505）–该漏洞的版本小于XStream <= 1.4.16。

https://github.com/fofapro/vulfocus
git clone https://github.com/fofapro/vulfocus.git

启动vulfocus

docker-compose up -d 

环境启动后，访问http://192.168.63.129:28139即可看到一个hello, input your information please.页面，说明已成功启动。

明天继续，水一个文章

修复建议

XStream 任意代码执行漏洞—关注厂商的主页以获取最新版本1.4.19
补丁链接：https://x-stream.github.io/download.html

总结

这篇关于XStream 反序列化漏洞 CVE-2021-39144 已亲自复现的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---