一、漏洞详情

XStream是一个用于在Java对象和XML之间相互转换的工具。

近日，监测到XStream中修复了一个堆溢出拒绝服务漏洞（CVE-2024-47072）。XStream 1.4.21之前版本中，当XStream配置为使用BinaryStreamDriver时，由于在反序列化某些特定输入时处理不当，攻击者可以通过构造特定的二进制数据流作为输入，导致在反序列化时进入无限递归，从而触发栈溢出，使应用程序崩溃并导致服务中断，造成拒绝服务。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

XStream < 1.4.21

三、修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

XStream >= 1.4.21