Sicherheitsrahmen von XStream nicht initialisiert, XStream ist wahrscheinlich anfällig

9

Security framework of XStream not initialized, XStream is probably vulnerable

Ich erhalte diesen Konsolenfehler bei Verwendung von XStream (1.4.10) immer in Rot.

Ich habe Folgendes versucht:

XStream.setupDefaultSecurity(xs);

und

xs.addPermission(AnyTypePermission.ANY); xs.addPermission(NoTypePermission.NONE);

keiner von denen wurde es los.

Ich brauche keine ausgefallenen Sicherheitseinstellungen, ich möchte nur diese Warnung zum Schweigen bringen. Vielleicht bereiten Sie auch den Code für 1.5.x

vor     
GGrec 22.06.2017, 11:36
quelle

2 Antworten

6

Ich hatte das gleiche "Problem" und löste es, indem ich die relevanten Typen erlaubte:

%Vor%

Vielleicht hilft das auch in Ihrem Fall.

Viel Glück!

    
JEEUser0815 02.07.2017 19:36
quelle
5

Wenn es um Sicherheitsprobleme geht, würde ich es nicht leicht nehmen. Erstens würde man die Schwere des Problems verstehen, hier ein gutes Schreiben .

Dann finden Sie heraus, wie die Leute die Lösung empfehlen. Der beste Ausgangspunkt ist die Xstream-Website. Es gibt ein Beispiel, das Sie als Ausgangspunkt auf der xstream-Sicherheitsseite verwenden können.

Dies wäre meine Einrichtung, die grundsätzlich den Großteil Ihres Codes erlaubt.

%Vor%

Nachdem ich jedoch mehr in den Quellcode eingetaucht habe, ist das meine Meinung:

%Vor%

Sie brauchen also nur einmal eine Zeile, wenn Sie auf 1.5 upgraden.

Bitte beachten Sie, dass Sie möglicherweise mehr Platzhalter für Ihre Deserialisierungsszenarien benötigen. Dies ist keine One-Size-Fit-All-Antwort, sondern ein guter Ausgangspunkt IMHO.

    
coolersport 17.07.2017 20:09
quelle

Tags und Links