XStream组件预警以及修复指引

xstream介绍

官网地址：https://x-stream.github.io/
基本介绍：对XML对象进行序列化和反序列化的库
漏洞预警：存在远程代码执行漏洞，可造成服务器被入侵和业务数据被窃取，该漏洞风险等级为【严重】
影响版本： 1.4.17 以下版本

修复方案

升级

升级到最新版本1.4.17。
https://x-stream.github.io/download.html

删除jar包

如果业务不需要使用XStream库文件，直接删除即可

限制反序列化的类

需要修改源码，XStream官方提供了安全api让开发者根据项目的需求去做限制。
demo：

import com.thoughtworks.xstream.XStream;
import com.thoughtworks.xstream.security.NoTypePermission;
import com.thoughtworks.xstream.security.NullPermission;
import com.thoughtworks.xstream.security.PrimitiveTypePermission;

import java.io.File;
import java.io.FileOutputStream;

public class Test {


    public static void main(String[] args) throws Exception {

        XStream xstream = new XStream();
        xstream.toXML(new People("test",11),new FileOutputStream(new File("/tmp/people.xml")));

        // 不允许白名单
        xstream.addPermission(NoTypePermission.NONE);
        // 允许基础类
        xstream.addPermission(NullPermission.NULL);
        xstream.addPermission(PrimitiveTypePermission.PRIMITIVES);
        // 允许业务类
        xstream.allowTypeHierarchy(People.class);
        People people = (People) xstream.fromXML(new File("/tmp/people.xml"));
        System.out.println(people.name); //打印 test

    }
}