【漏洞预警】fastjson 远程代码执行漏洞

  • 内容
  • 相关


0x01漏洞描述

fastjson是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持将Java Bean序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 JavaBean,由于具有执行效率高的特点,应用范围广泛。

9月18日,有安全研究员在阿里官方 GitHub 上提交了针对 fastjson 反序列化远程命令执行漏洞新利用方式的修复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a),攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。

0x02影响版本

fastjson < =1.2.60

0x03修复建议

1、官方暂未发布修复版本。

2、缓解措施:官方暂未发布针对此漏洞的修复版本,受影响用户需确定当前版本为官方最新版本,且未开启autoType 功能,实现对此漏洞的防护(autoType 功能默认关闭)。

autoType 关闭方法:

方法一:在项目源码中全文搜索如下代码,找到并将此行代码删除:

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

方法二:在 JVM 中启动项目时,不要添加如下参数:

-Dfastjson.parser.autoTypeSupport=true

0x04参考链接

https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a 


本文标签:

版权声明:若无特殊注明,本文皆为《舜哥哥吖》原创,转载请保留文章出处。

本文链接:【漏洞预警】fastjson 远程代码执行漏洞 - http://www.shungg.cn/post/253

发表评论

电子邮件地址不会被公开。 必填项已用*标注