xstreamにおける信頼できないデータとコードのデシリアライゼーションとコードインジェクション

この脆弱性を悪用されると、攻撃者はXStreamライブラリを処理するアプリケーションに悪意のあるXMLまたはJSONペイロードを送信することで、サーバー上で任意のコードを実行できます。これにより、機密情報の窃取、システムの改ざん、さらには完全なシステム制御の奪取といった深刻な被害が発生する可能性があります。特に、XStreamライブラリをWebアプリケーションやAPIで使用している場合、外部からの入力データが適切に検証されていないと、攻撃の対象となりやすくなります。この脆弱性は、以前のCVE-2013-7285の回帰であるため、同様の攻撃手法が適用される可能性があります。

Applications that utilize XStream for XML or JSON processing, particularly those handling untrusted input, are at risk. This includes web applications, enterprise Java applications, and any system where XStream is used to parse external data. Legacy applications using older XStream versions are particularly vulnerable.

• java / server:

find / -name "xstream-1.4.10.jar" 2>/dev/null

• java / supply-chain: Check dependencies for XStream versions <= 1.4.10-java7 using Maven or Gradle dependency analysis tools. • java / server: Monitor application logs for deserialization errors or suspicious activity related to XML/JSON processing. • generic web: Examine web application request/response logs for XML/JSON payloads that might be attempting to exploit deserialization vulnerabilities.

1. 2019-07-26Disclosure

   disclosure

1. 予約済み2019-03-27
2. 公開日2019-07-26
3. 更新日2026-02-25
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、XStreamライブラリをバージョン1.4.11以上にアップデートすることが最も効果的です。アップデートが困難な場合は、セキュリティフレームワークの初期化を確実に行うことで、脆弱性の影響を軽減できます。また、入力データの検証を強化し、信頼できないソースからのXMLまたはJSONデータの処理を制限することも重要です。Webアプリケーションファイアウォール（WAF）やプロキシサーバーを使用して、悪意のあるペイロードをブロックすることも有効な手段となります。