Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en lista negra predeterminada del Framework de Seguridad en XStream (CVE-2021-21348)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
23/03/2021
Última modificación:
23/05/2025

Descripción

XStream es una biblioteca de Java para serializar objetos a XML y viceversa. En XStream anterior a la versión 1.4.16, se presenta una vulnerabilidad que puede permitir que un atacante remoto ocupe un hilo que consume el máximo tiempo de CPU y nunca regresará. Ningún usuario está afectado, si siguió la recomendación de configurar el framework de seguridad de XStream con una lista blanca limitada a los tipos mínimos requeridos. Si confía en la lista negra predeterminada de XStream del Framework de Seguridad, tendrá que usar al menos la versión 1.4.16

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:netapp:oncommand_insight:-:*:*:*:*:*:*:*
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* 5.15.14 (excluyendo)
cpe:2.3:a:apache:activemq:5.16.0:*:*:*:*:*:*:*
cpe:2.3:a:apache:activemq:5.16.1:*:*:*:*:*:*:*
cpe:2.3:a:apache:jmeter:*:*:*:*:*:*:*:* 5.5 (excluyendo)
cpe:2.3:a:xstream:xstream:*:*:*:*:*:*:*:* 1.4.16 (excluyendo)
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*
cpe:2.3:a:oracle:banking_enterprise_default_management:2.10.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:banking_enterprise_default_management:2.12.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:banking_platform:2.4.0:*:*:*:*:*:*:*


Referencias a soluciones, herramientas e información