■ 漏洞描述
XStream是一个常用的Java对象和XML相互转换的工具。近日XStream官方发布安全更新，修复了 CVE-2020-26217 XStream远程代码执行漏洞。攻击者通过构造恶意的XML文档，可绕过XStream的黑名单，触发反序列化，从而造成远程代码执行漏洞，控制服务器。
 
■ 影响范围
XStream < 1.4.14
 
■ 漏洞检测
匹配版本号。
 
■ 漏洞修复
针对使用到XStream组件的web服务升级至最新版本：http://x-stream.github.io/changes.html。
 
■ 临时修复
针对使用该组件web限制ip访问。
 
■ 漏洞详情
https://mp.weixin.qq.com/s/jXoqiwjJLehzw7m_ss2Xzg。