0x01漏洞描述
fastjson是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持将Java Bean序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 JavaBean,由于具有执行效率高的特点,应用范围广泛。
9月18日,有安全研究员在阿里官方 GitHub 上提交了针对 fastjson 反序列化远程命令执行漏洞新利用方式的修复代码https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a,攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。
0x02影响版本
fastjson < =1.2.60
0x03修复建议
1、官方暂未发布修复版本。
2、缓解措施:官方暂未发布针对此漏洞的修复版本,受影响用户需确定当前版本为官方最新版本,且未开启autoType 功能,实现对此漏洞的防护(autoType 功能默认关闭)。
autoType 关闭方法:
方法一:在项目源码中全文搜索如下代码,找到并将此行代码删除:
ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
方法二:在 JVM 中启动项目时,不要添加如下参数:
-Dfastjson.parser.autoTypeSupport=true
0x04参考链接
https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a