- Aktif istismar
- Yama var
- CWE-94
- CWE-502
CVE-2021-39144
XStream'de girdi akışı manipülasyonuyla uzaktan komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1892 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
XStream, nesneleri XML'e serileştirmek ve tekrar geri çevirmek için kullanılan basit bir kütüphanedir. Etkilenen sürümlerde, uzak bir saldırgan yeterli haklara sahipse, yalnızca işlenen girdi akışını manipüle ederek ana bilgisayarda komut çalıştırabilir. XStream'in güvenlik çerçevesini, gerekli en az türlerle sınırlı bir beyaz liste ile yapılandırma önerisini uygulayan hiçbir kullanıcı etkilenmemektedir. XStream 1.4.18 sürümünden itibaren, genel amaçlı kullanım için güvenli hale getirilemediğinden varsayılan olarak artık kara liste kullanılmamaktadır.
Kaynaktaki açıklama (İngilizce)
XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| x-stream xstream | < 1.4.18 | 1.4.18 |
Kaynaklar14 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.fedoraproject.org/…t.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP Üretici bülteni
- lists.fedoraproject.org/…t.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB Üretici bülteni
- lists.fedoraproject.org/…t.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7 Üretici bülteni
- debian.org/security/2021/dsa-5004 Üretici bülteni
- github.com/…stream/security/advisories/GHSA-j9h8-phrw-h4fh Diğer
- x-stream.github.io/CVE-2021-39144.html Diğer
- lists.debian.org/debian-lts-announce/2021/09/msg00017.html Diğer
- oracle.com/security-alerts/cpujan2022.html Diğer
- security.netapp.com/advisory/ntap-20210923-0003 Diğer
- oracle.com/security-alerts/cpuapr2022.html Diğer
- oracle.com/security-alerts/cpujul2022.html Diğer
- packetstormsecurity.com/…eam-Unauthenticated-Remote-Code-Execution.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.