关于XStream拒绝服务漏洞（CVE-2024-47072）的预警提示

发布时间：2024-11-25浏览次数：10

一、漏洞详情 XStream是一个用于在Java对象和XML之间相互转换的工具。 近日，监测到XStream中修复了一个堆溢出拒绝服务漏洞（CVE-2024-47072）。XStream 1.4.21之前版本中，当XStream配置为使用BinaryStreamDriver时，由于在反序列化某些特定输入时处理不当，攻击者可以通过构造特定的二进制数据流作为输入，导致在反序列化时进入无限递归，从而触发栈溢出，使应用程序崩溃并导致服务中断，造成拒绝服务。 建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。 二、影响范围 XStream < 1.4.21 三、修复建议 目前该漏洞已经修复，受影响用户可升级到以下版本： XStream >= 1.4.21