CVE-2022-41966

Versões do XStream anteriores à 1.4.20

A vulnerabilidade permite que um invasor remoto encerre a aplicação com um erro de estouro de pilha, resultando em uma negação de serviço por meio da manipulação do fluxo de entrada processado. Isso é feito explorando a implementação do código hash para coleções e mapas, forçando o cálculo recursivo do hash e causando um estouro de pilha.

Para versões anteriores à 1.4.20, atualize para a versão 1.4.20 para corrigir o problema, que lida com o estouro de pilha e, em vez disso, lança uma exceção InputManipulationException.

Como solução alternativa temporária para usuários que utilizam apenas HashMap ou HashSet e cujo XML se refere a eles apenas como mapa ou conjunto padrão, considere alterar a implementação padrão de java.util.Map e java.util conforme o exemplo de código no aviso de segurança mencionado, mas certifique-se de que seu aplicativo não se preocupe com a implementação do mapa e que todos os elementos sejam comparáveis.