0x01漏洞描述

fastjson是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持将Java Bean序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 JavaBean,由于具有执行效率高的特点,应用范围广泛。

9月18日,有安全研究员在阿里官方 GitHub 上提交了针对 fastjson 反序列化远程命令执行漏洞新利用方式的修复代码https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a,攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。

0x02影响版本

fastjson < =1.2.60

0x03修复建议

1、官方暂未发布修复版本。

2、缓解措施:官方暂未发布针对此漏洞的修复版本,受影响用户需确定当前版本为官方最新版本,且未开启autoType 功能,实现对此漏洞的防护(autoType 功能默认关闭)。

autoType 关闭方法:

方法一:在项目源码中全文搜索如下代码,找到并将此行代码删除:

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

方法二:在 JVM 中启动项目时,不要添加如下参数:

-Dfastjson.parser.autoTypeSupport=true

0x04参考链接

https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a ;

最后修改:2021 年 03 月 09 日
如果觉得我的文章对你有用,请随意赞赏