腾讯蓝军安全通告｜XStream远程代码执行漏洞(CVE-2021-29505)

前言

上周五XStream官方发布安全更新，由于官方把需要公告的CVE-2021-29505（任意代码执行漏洞）链接贴错成了CVE-2020-26258（SSRF漏洞）链接，导致很多人没有重视这次安全更新。

这次修复的CVE-2021-29505（任意代码执行漏洞），漏洞利用复杂度低，风险高，建议尽快修复，详情如下。

1、升级到最新版本-1.4.17

https://x-stream.github.io/news.html

2、使用安全api

https://x-stream.github.io/security.html#example

软件列表：

a)常用库：OpenSSL、Fastjson、Gson、XStream等

b)框架：Shiro、Struts2、CAS、Spring Boot、Thinkphp、YII、CI等

c)组件：ActiveMQ、Solr、Hadoop、Prometheus、ELK Stack、Grafana、Eureka等

d) 办公协同产品：Jira、Confulence等

e) 邮件：Exchange、Coremail等

f) 门户论坛CMS：WordPress等

g) 远程设备：Citrix、CISCO SSL VPN等

h) 浏览器：Chrome等

i) 日常软件：Visual Studio Code等

特别关注以下列表：

a) 操作系统：Linux 、iOS 、Android、Windows、MacOS

b) Web服务器：Apache、Nginx、Tomcat

c) 存储计算系统：MySQL、Memcache、Redis、Spark、Hadoop

d) 开发语言：PHP、Java、Python、Golang、C++

e) 云、虚拟化：QEMU、K8S、Docker

f) 网络设备：Cisco、H3C、sonic