XStream XStream のリモートコード実行の脆弱性（CVE-2021-39144）

何が起きた

Java のデータを XML などに変換するライブラリの XStream に、攻撃者が選んだコマンドを動かされる弱点が見つかり、実際に悪用が確認されています。XStream が読み込むデータ（入力）を細工すると、サーバー上でコマンドを実行されるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、一般利用者程度の権限があれば悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

XStream 1.4.17 までのすべてのバージョンを、初期設定のまま使っているソフトウェアが影響を受けます。CISA によると、VMware Cloud Foundation など、XStream を組み込んだ複数の製品にも影響があります。必要最小限の型だけを許可する設定（ホワイトリスト）をしている場合は影響を受けません。

何をすればいい

XStream を 1.4.18 以降に更新してください。XStream の案内では、許可する型を必要最小限にしたホワイトリストでセキュリティの仕組みを設定することが勧められています。XStream を組み込んだ製品を使っている場合は、その製品のメーカーの公式の案内を確認して更新してください。

やることチェックリスト

• XStream を 1.4.18 以降に更新する
• 許可する型をホワイトリストで最小限にする
• 組み込んだ製品のメーカーの更新を適用する

用語メモ

ライブラリ

よく使う機能をまとめた部品で、ほかのソフトウェアに組み込んで使います。

ホワイトリスト

許可するものだけを並べた一覧です。一覧にないものはすべて拒否します。

XML

データを決まった書き方の文字で表す形式の一つです。