ГрамотаИБ ГрамотаИБ

BDU:2021-05501

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8) CVSS 9.800000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уязвимость Java-библиотеки Xstream для преобразования объектов в форматы XML или JSON, связанная с неограниченной загрузкой файлов опасного типа, позволяющая нарушителю загружать и выполнять произвольный код с удаленного хоста

Соответствие зарубежным идентификаторам

CVE-2021-21347

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость Java-библиотеки Xstream для преобразования объектов в форматы XML или JSON связана с неограниченной загрузкой файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, загружать и выполнять произвольный код с удаленного хоста путем манипулирования обработанным входным потоком данных

Способ устранения

Использование рекомендаций: Для xstream: https://x-stream.github.io/CVE-2021-21347.html https://x-stream.github.io/security.html#workaround Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2021-21347 https://lists.debian.org/debian-lts-announce/2021/04/msg00002.html Для Apache: https://lists.apache.org/thread/r8244fd0831db894d5e89911ded9c72196d395a90ae655414d23ed0dd@%3cusers.activemq.apache.org%3e https://issues.apache.org/jira/browse/AMQ-7426 Для Ubuntu: https://ubuntu.com/security/CVE-2021-21347 https://ubuntu.com/security/notices/USN-4943-1 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PVPHZA7VW2RRSDCOIPP2W6O5ND254TU7/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/QGXIU3YDPG6OGTDHMBLAFN7BPBERXREB/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/22KVR6B5IZP3BGQ3HPWIO2FWWCKT3DHP/ Для программных продуктов Oracle Corp.: https://www.oracle.com//security-alerts/cpujul2021.html https://www.oracle.com/security-alerts/cpuoct2021.html Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2021-21347 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2021-21347.html Для McAfee Inc.: https://docs.mcafee.com/ru-RU/bundle/web-gateway-8.2.x-release-notes/page/GUID-66AC8C57-9C6E-4785-994A-641F156C0E0B.html

Сведения записи

Дата публикации: 17.11.2021
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Apache Software FoundationLog4jдо 5.17.0Не указана
Canonical Ltd.Ubuntu18.04 LTSНе указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu20.10Не указана
Canonical Ltd.Ubuntu21.04Не указана
Fedora ProjectFedora33Не указана
Fedora ProjectFedora34Не указана
Fedora ProjectFedora35Не указана
McAfee Inc.McAfee Web Gatewayдо 8.2.22Не указана
Novell Inc.OpenSUSE Leap15.2Не указана
Novell Inc.OpenSUSE Leap15.3Не указана
Novell Inc.openSUSE Tumbleweed-Не указана
Oracle Corp.Oracle Banking Enterprise Default Management2.10.0Не указана
Oracle Corp.Oracle Banking Enterprise Default Management2.12.0Не указана
Oracle Corp.Oracle Banking Platform2.12.0Не указана
Oracle Corp.Oracle Banking Platform2.4.0Не указана
Oracle Corp.Oracle Banking Platform2.7.1Не указана
Oracle Corp.Oracle Banking Platform2.9.0Не указана
Oracle Corp.Oracle Banking Virtual Account Management14.2Не указана
Oracle Corp.Oracle Banking Virtual Account Management14.3Не указана
Oracle Corp.Oracle Banking Virtual Account Management14.5Не указана
Oracle Corp.Oracle Business Activity Monitoring11.1.1.9.0Не указана
Oracle Corp.Oracle Business Activity Monitoring12.2.1.3.0Не указана
Oracle Corp.Oracle Business Activity Monitoring12.2.1.4.0Не указана
Oracle Corp.Oracle Communications BRM12.0.0.3.0Не указана
Oracle Corp.Oracle Communications Policy Management12.5.0Не указана
Oracle Corp.Oracle Communications Unified Inventory Management7.3.2Не указана
Oracle Corp.Oracle Communications Unified Inventory Management7.3.4Не указана
Oracle Corp.Oracle Communications Unified Inventory Management7.3.5Не указана
Oracle Corp.Oracle Communications Unified Inventory Management7.4.0Не указана
Oracle Corp.Oracle Communications Unified Inventory Management7.4.1Не указана
Oracle Corp.Oracle Retail Xstore Point of Service16.0.6Не указана
Oracle Corp.Oracle Retail Xstore Point of Service17.0.4Не указана
Oracle Corp.Oracle Retail Xstore Point of Service18.0.3Не указана
Oracle Corp.Oracle Retail Xstore Point of Service19.0.2Не указана
Oracle Corp.Oracle WebCenter Portal11.1.1.9.0Не указана
Oracle Corp.Oracle WebCenter Portal12.2.1.3.0Не указана
Oracle Corp.Oracle WebCenter Portal12.2.1.4.0Не указана
Red Hat Inc.Red Hat BPM Suite6Не указана
Red Hat Inc.Red Hat CodeReady Studio12Не указана
Red Hat Inc.Red Hat Data Grid8Не указана
Red Hat Inc.Red Hat Descision Manager7Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Red Hat Inc.Red Hat Integration Camel K-Не указана
Red Hat Inc.Red Hat Integration Camel Quarkus-Не указана
Red Hat Inc.Red Hat JBoss A-MQ6Не указана
Red Hat Inc.Red Hat JBoss BRMS5Не указана
Red Hat Inc.Red Hat JBoss BRMS6Не указана
Red Hat Inc.Red Hat JBoss Data Grid7Не указана
Red Hat Inc.Red Hat JBoss Data Virtualization6Не указана

Показано 50 из 57 записей — полный перечень в первоисточнике.

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.