fastjson远程代码执行缝隙安全公告

颁布功夫 2019-09-20

●缝隙编号和级别


CVE编号：暂无， ，，，，危险级别：高危， ，，，，CVSS分值：官方未评定


●影响版本


受影响的版本


fastjson < =1.2.60


●缝隙概述


fastjson是阿里巴巴的开源JSON解析库， ，，，，它能够解析JSON体式的字符串， ，，，，支持将Java Bean序列化为JSON字符串， ，，，，也能够从JSON字符串反序列化到JavaBean， ，，，，由于拥有执行效能高的特点， ，，，，利用领域宽泛。。。 。。。


9月18日， ，，，，有安全钻研员在阿里官方GitHub上提交了针对fastjson反序列化远程号令执行缝隙新利用方式的建复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a)， ，，，，攻击者能够通过此缝隙远程执行恶意代码来入侵服务器。。。 。。。


●缝隙验证


暂无POC/EXP。。。 。。。



●建复建议


官方暂未颁布建复版本。。。 。。。


缓解措施：


官方暂未颁布针对此缝隙的建复版本， ，，，，受影响用户需确定当前版本为官方最新版本， ，，，，且未开启autoType职能， ，，，，实现对此缝隙的防护（autoType职能默认关关）。。。 。。。


autoType关关步骤：

步骤一：在项目源码中全文搜索如下代码， ，，，，找到并将此行代码删除：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);  


步骤二：在JVM中启动项目时， ，，，，不要增长如下参数：

-Dfastjson.parser.autoTypeSupport=true


●参考链接


https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a