xstream 代码问题漏洞
2023年7月，代洞一个隐藏在xstream库深处的码问反序列化漏洞被公开，CVSS评分9.8。题漏这玩意儿不是代洞新面孔，但每次出现都让人头皮发麻。码问攻击者只需要向目标应用发送一段精心构造的题漏XML，就能在服务器上执行任意命令——不是代洞读文件，不是码问弹计算器，是题漏直接拿到shell。想想那些还在用老版本xstream的代洞金融系统，冷汗直冒。码问
问题出在xstream的题漏`fromXML()`方法上。这个方法默认信任所有传入的代洞XML数据，不会校验里面到底藏了什么。码问攻击者可以在XML里嵌入恶意类引用，题漏比如`
我见过一个真实案例。某电商平台的订单接口用xstream解析用户提交的优惠券信息，攻击者把优惠券字段替换成恶意XML，直接绕过了所有权限校验，在服务器上创建了管理员账号。事后排查发现，他们用的xstream版本是2017年的，连CVE-2017-7957的补丁都没打。你说这是代码问题还是人的问题？
更坑的是，xstream的修复方式不是默认开启安全模式，而是让你手动调用`XStream.setupDefaultSecurity()`或者挨个添加白名单。很多老项目根本不会去改这行代码——改完可能现有功能就崩了。于是漏洞就像牛皮癣，好了又犯。2021年爆出CVE-2021-21350，2022年又出CVE-2022-41966，每次都是类似的绕过手法，只是换了新的gadget链。
说实话，xstream这个库的设计理念在十年前算先进，现在看就是个定时炸弹。它允许XML直接映射到任意Java类，这种灵活性是把双刃剑。攻击者不需要知道目标系统内部结构，只要找到一条可用的gadget链，就能打穿一切。而gadget链的挖掘成本越来越低，网上现成的工具一抓一大把。
给还在用xstream的团队一个建议：要么升级到最新版并显式启用安全配置，要么干脆换掉它，用Jackson或者Gson处理JSON格式。别心疼迁移成本，等被入侵了再后悔，那才是真正的代价。