XStream CVE-2022-41966 拒绝服务漏洞通告

漏洞概述

近日，华为感知到XStream官方发布安全公告，修复了一个拒绝服务漏洞，漏洞编号CVE-2022-41966，CVSS评分8.2，漏洞等级高危。

XStream是一款JAVA对象和XML相互转换的组件，该漏洞是XStream将XML反序列化为对象时存在栈溢出导致。远程攻击者通过操纵输入数据，构造特殊的XML触发栈溢出，导致拒绝服务。鉴于漏洞影响范围较大，且技术细节与POC已公开，建议广大用户尽快升级，避免遭受黑客的攻击。

关键信息

受影响的版本

-          XStream < 1.4.20

解决方案

1.   华为解决方案

华为在感知到该漏洞信息以后，安全研究人员持续关注相关信息，复现漏洞，并开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

2.   厂商解决方案

官方已修复漏洞，可以升级到XStream 1.4.20或更高版本：

https://x-stream.github.io/download.html

参考链接

https://x-stream.github.io/CVE-2022-41966.html