Fastjson远程代码执行缝隙公告
颁布功夫 2020-05-290x00 缝隙概述
|
CVE ID |
暂无 |
时 间 |
2020-05-29 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Fastjson <= 1.2.68 |
0x01 缝隙详情
Fastjson是阿里巴巴的开源JSON解析库 ，它能够解析JSON体式的字符串 ，支持将Java Bean序列化为JSON字符串 ，也能够从JSON字符串反序列化到JavaBean。
2020年5月28日 ，Github颁布了有关Fastjson <= 1.2.68版本存在远程代码执行缝隙的布告 ，该缝隙可绕过autoType开关的限度 ，攻击者精心机关反序列化利用链 ，实此刻指标机械上的远程代码执行。此缝隙自身无法绕过Fastjson的黑名单限度 ，必要共同不在黑名单中的反序列化利用链能力实现缝隙利用。
Fastjson版本检测号令：
lsof | grep fastjson
0x02 措置建议
截止到目前 ，官方还未颁布1.2.69版本 ，建议宽大用户实时关注官方更新公告 ，做好资产自查 ，以免遭逢黑客攻击。
一时措施：
受影响用户可通过禁用autoType来躲避风险 ，另表建议将JDK升级到最新版本。
由于autotype开关的限度可被绕过 ，请受影响用户升级fastjson至1.2.68版本 ，通过开启safeMode配置齐全禁用autoType。( 把稳：safeMode会齐全禁用autotype ，忽视白名单 ，请把稳评估对业务影响)三种配置SafeMode的方式如下:
? 在代码中配置：
ParserConfig.getGlobalInstance().setSafeMode(true);
? 加上JVM启动参数：若是有多个包名前缀 ，可用逗号隔开。
-Dfastjson.parser.safeMode=true
? 通过fastjson.properties文件配置：通过类蹊径的fastjson.properties文件来配置 ，配置方式如下：
fastjson.parser.safeMode=true
0x03 参考链接
https://github.com/alibaba/fastjson/releases
https://github.com/alibaba/fastjson/wiki/fastjson_safemode
0x04 功夫线
2020-05-28 Github颁布缝隙布告
2020-05-29 VSRC颁布缝隙公告
京公网安备11010802024551号