fastjson远程代码执行缝隙安全公告

颁布功夫 2019-09-20

●缝隙编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


●影响版本


受影响的版本


fastjson < =1.2.60


●缝隙概述


fastjson是阿里巴巴的开源JSON解析库，它能够解析JSON体式的字符串，支持将Java Bean序列化为JSON字符串，也能够从JSON字符串反序列化到JavaBean，由于拥有执行效能高的特点，利用领域宽泛。


9月18日，有安全钻研员在阿里官方GitHub上提交了针对fastjson反序列化远程号令执行缝隙新利用方式的建复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a)，攻击者能够通过此缝隙远程执行恶意代码来入侵服务器。


●缝隙验证


暂无POC/EXP。



●建复建议


官方暂未颁布建复版本。


缓解措施：


官方暂未颁布针对此缝隙的建复版本，受影响用户需确定当前版本为官方最新版本，且未开启autoType职能，实现对此缝隙的防护（autoType职能默认关关）。


autoType关关步骤：

步骤一：在项目源码中全文搜索如下代码，找到并将此行代码删除：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);  


步骤二：在JVM中启动项目时，不要增长如下参数：

-Dfastjson.parser.autoTypeSupport=true


●参考链接


https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a