CVE-2021-39144

설명

XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker has sufficient rights to execute commands of the host only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.

영향 제품·버전

공급사 XStream

제품 XStream

영향 버전 < 1.4.18, 9.0, 10.0, 11.0, 33, 34, 35, 12.2.1.4.0, 11.3.2, 11.3, 12.0, 1.9.0, 1.10.0, 1.14.0, 7.3.4, 7.3.5, 7.4.0, 7.4.1, 7.4.2, 16.0.6

수정 버전 1.4.18

조치 방법

• 공급사가 제공한 최신 보안 업데이트 적용
• 자사 보유 제품과 영향 버전의 일치 여부 확인
• 외부 노출 서비스와 비정상 인증·접속 로그 점검
• 패치가 어려우면 공급사 완화조치와 접근통제 적용

기술 정보

CVSS 벡터 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

CWE CWE-306, CWE-502, CWE-94

KEV 등록일 2023.03.10

랜섬웨어 캠페인 사용 미확인

CISA 비고 https://www.vmware.com/security/advisories/VMSA-2022-0027.html, https://x-stream.github.io/CVE-2021-39144.html; https://nvd.nist.gov/vuln/detail/CVE-2021-39144

EPSS 데이터 기준일 2026.06.27