Vulnérabilités dans la librairie Java de sérialisation XML XStream

Date de publication :

Deux vulnérabilités représentant un niveau de risque élevé ont été corrigées dans XStream. XStream est une bibliothèque Java permettant de sérialiser des objets en XML et inversement.

CVE-2020-26217  [Score CVSS v3 : 8.8] : Une vulnérabilité permettant l'exécution de code arbitraire a été corrigée sur XStream. Cette vulnérabilité peut permettre à un attaquant distant et authentifié d'exécuter des commandes shell arbitraires en manipulant le flux d'entrée traité.

CVE-2020-26258  [Score CVSS v3 : 7.7] : Une vulnérabilité de type "Server-Side Forgery Request" a été corrigée dans XStream. La vulnérabilité peut permettre à un attaquant distant et authentifié d’accéder à des données provenant de ressources internes qui ne sont pas accessibles au public en manipulant le flux d'entrée traité. La vulnérabilité n'affecte pas XStream en exécutant Java 15 ou une version supérieure.  

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Exposition d’informations sensibles
  • Suppression de fichier arbitraire
  • Violation des politiques de sécurité

Criticité

  • Score CVSS v3 : 7.7 ; 8.8

Existence d’un code d’exploitation

Deux démonstrations d’exploitation sont disponibles pour les CVEs mentionnées :

Composants vulnérables

  • Les versions de XStream antérieures à la version 1.4.14 sont impactées par la CVE-2020-26217.
  • Les versions de XStream antérieures à la version 1.4.15 sont impactées par la CVE-2020-26258.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour XStream vers la version 1.4.15.

Solution de contournement

Des mesures de mitigation sont disponibles pour ces vulnérabilités dans la section “Workaround” dans chacun des deux liens suivants :

 

Liens