Fastjson caucho-quercus远程代码执行缝隙风险公告

颁布功夫 2020-03-23

缝隙编号和级别


CVE编号：暂无，，，，，，，危险级别：高危，，，，，，，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


缝隙概述


Fastjson是一个Java说话编写的高机能职能美满的JSON库。。。。 。 。。它选取一种“假定有序急剧匹配”的算法，，，，，，，把JSON Parse的机能提升到极致，，，，，，，是目前Java说话中最快的JSON库。。。。 。 。。Fastjson接口单一易用，，，，，，，已经被宽泛使用在缓存序列化、和谈交互、Web输出、Android客户端等多种利用场景。。。。 。 。。


Fastjson远程代码执行缝隙是由于使用com.caucho.config.types.ResourceRef类，，，，，，，绕过了Fastjson1.2.66及以前版本的黑名单而导致。。。。 。 。。当服务端加载了存在受缝隙影响的resin依赖，，，，，，，并且开启了Fastjson的autotype时，，，，，，，远程攻击者能够通过机关的攻击代码触发远程代码执行缝隙，，，，，，，最终能够获取到服务器的节造权限。。。。 。 。。


缝隙验证


暂无PoC/EXP。。。。 。 。。


建复建议


1.Alibaba颁布的最新版本Fastjson1.2.67已经防御此缝隙，，，，，，，请受缝隙影响的用户下载最新版本。。。。 。 。。下载链接：https://github.com/alibaba/fastjson。。。。 。 。。

2.Fastjson默认关关autotype，，，，，，，若是项目中不必要该职能，，，，，，，能够删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson