一、漏洞详情
XStream是一个用于在Java对象和XML之间相互转换的工具。
近日，监测到XStream中修复了一个堆溢出拒绝服务漏洞（CVE-2024-47072）。XStream 1.4.21之前版本中，当XStream配置为使用BinaryStreamDriver时，由于在反序列化某些特定输入时处理不当，攻击者可以通过构造特定的二进制数据流作为输入，导致在反序列化时进入无限递归，从而触发栈溢出，使应用程序崩溃并导致服务中断，造成拒绝服务。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
XStream < 1.4.21
三、修复建议
目前该漏洞已经修复，受影响用户可升级到以下版本：
XStream >= 1.4.21