阿里云漏洞库

漏洞描述

Those using Xstream to seralize XML data may be vulnerable to Denial of Service attacks (DOS). If the parser is running on user supplied input, an attacker may supply content that causes the parser to crash by stackoverflow. This effect may support a denial of service attack.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=47367
https://github.com/x-stream/xstream/issues/304

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	xstream_project	xstream	*		Up to (including) 1.4.19
	运行在以下环境
	系统	fedora_EPEL_8	xstream	*		Up to (excluding) 1.4.20-1.el8
	运行在以下环境
	系统	kylinos_aarch64_V10	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10HPC	xstream	*		Up to (excluding) 1.4.20-1.ky10h
	运行在以下环境
	系统	kylinos_aarch64_V10SP2	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP3	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP32309a	xstream	*		Up to (excluding) 1.4.20-1.ky10h
	运行在以下环境
	系统	kylinos_aarch64_V10SP32309b	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_loongarch64_V10SP3	xstream	*		Up to (excluding) 1.4.20-1.a.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10HPC	xstream	*		Up to (excluding) 1.4.20-1.ky10h
	运行在以下环境
	系统	kylinos_x86_64_V10SP2	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP3	xstream	*		Up to (excluding) 1.4.20-1.ky10
	运行在以下环境
	系统	opensuse_Leap_15.4	xstream	*		Up to (excluding) 1.4.20-150200.3.25.1

攻击路径

本地
攻击复杂度

复杂
权限要求

普通权限
影响范围

越权影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-787	跨界内存写

中危 xstream_project xstream 跨界内存写

漏洞描述

解决建议

参考链接

受影响软件情况