Fastjson远程回绝服务缝隙安全公告

颁布功夫 2019-09-05

●缝隙编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


●影响版本


受影响的版本


Fastjson 1.2.60以下版本


●缝隙概述


Fastjson是阿里巴巴的开源JSON解析库，，，，，它能够解析JSON体式的字符串，，，，，支持将Java Bean序列化为JSON字符串，，，，，也能够从JSON字符串反序列化到JavaBean，，，，，由于拥有执行效能高的特点，，，，，利用领域很广。。。。。。 。


Fastjson 1.2.60版本以下存在字符串解析异常，，，，，可导致远程回绝服务攻击。。。。。。 。攻击者即可通过精心机关的要求包对使用Fastjson的服务器造成远程回绝服务攻击，，，，，使服务器CPU/RAM过载，，，，，导致服务器宕机。。。。。。 。


●缝隙验证


暂无POC/EXP。。。。。。 。


●建复建议


升级Fastjson到1.2.60版本：https://github.com/alibaba/fastjson。。。。。。 。


●参考链接


https://github.com/alibaba/fastjson