1.公告詳情：
1.4.14版之前的XStream容易受到遠程代碼執行的攻擊，該漏洞可能允許遠程攻擊者僅通過處理已處理的輸入流來運行任意的Shell命令。僅依賴阻止列表的用戶會受到影響。使用XStream的安全框架允許列表的任何人都不會受到影響。鏈接的通報為無法升級的用戶提供了代碼變通辦法。該問題已在1.4.14版中修復。（CVE-2020-26217）
XStream是一個Java庫，用于將對象序列化為XML并再次返回。在1.4.15之前的XStream中，解組時容易受到本地主機上任意文件刪除的攻擊。該漏洞可能允許遠程攻擊者刪除主機上的任意已知文件作為日志，因為執行過程僅通過操縱已處理的輸入流才具有足夠的權限。如果您依賴XStream的安全框架的默認黑名單，則必須至少使用版本1.4.15。報告的漏洞在運行Java 15或更高版本的系統中不存在。沒有用戶受到影響，他們遵循建議使用白名單設置XStream的安全框架！依靠XStream的默認黑名單的任何人都可以立即切換到允許類型的whilelist來避免此漏洞。XStream 1.4的用戶。（CVE-2020-26259）
XStream是一個Java庫，用于將對象序列化為XML并再次返回。在版本1.4.15之前的XStream中，解組時可以激活服務器端偽造請求漏洞。該漏洞可能允許遠程攻擊者僅通過處理已處理的輸入流來從不公開可用的內部資源中請求數據。如果您依賴XStream的安全框架的默認黑名單，則必須至少使用版本1.4.15。如果運行Java 15或更高版本，則報告的漏洞不存在。遵循建議使用白名單設置XStream的安全框架的用戶不會受到影響！依靠XStream的默認黑名單的任何人都可以立即切換到允許類型的whilelist來避免此漏洞。XStream 1.4的用戶。（CVE-2020-26258）
2. 受影響的操作系統：
銀河麒麟桌面操作系統V10專業版
3. 修復版本
軟件包：libxstream-java
libxstream-java - 1.4.11.1-1kylin0.1（V10專業版）
4. 受影響的軟件包
銀河麒麟桌面操作系統V10專業版
5.修復方法
方法一：配置源進行升級安裝
打開軟件包源配置文件，根據倉庫地址進行修改。
V10專業版:http://archive.kylinos.cn/kylin/KYLIN-ALL 10.1 main restricted universe multiverse
配置完成后執行更新命令進行升級 $sudo apt update
方法二：下載安裝包進行升級安裝
通過軟件包地址下載軟件包，使用軟件包升級命令根據受影響的組件包列表 升級相關的組件包。 $dpkg -i Packagelists
6. 軟件包下載地址
銀河麒麟桌面操作系統V10專業版
X86_64軟件包下載地址：
arm64軟件包下載地址：
mips64el軟件包下載地址：
