fastjson远程代码执行缝隙安全公告

颁布功夫 2019-09-20

●缝隙编号和级别


CVE编号：：：暂无，，，危险级别：：：高危，，，CVSS分值：：：官方未评定


●影响版本


受影响的版本


fastjson < =1.2.60


●缝隙概述


fastjson是阿里巴巴的开源JSON解析库，，，它能够解析JSON体式的字符串，，，支持将Java Bean序列化为JSON字符串，，，也能够从JSON字符串反序列化到JavaBean，，，由于拥有执行效能高的特点，，，利用领域宽泛。。


9月18日，，，有安全钻研员在阿里官方GitHub上提交了针对fastjson反序列化远程号令执行缝隙新利用方式的修复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a)，，，攻击者能够通过此缝隙远程执行恶意代码来入侵服务器。。


●缝隙验证


暂无POC/EXP。。



●修复建议


官方暂未颁布修复版本。。


缓解措施：：：


官方暂未颁布针对此缝隙的修复版本，，，受影响用户需确定当前版本为官方最新版本，，，且未开启autoType职能，，，实现对此缝隙的防护（autoType职能默认关闭）。。


autoType关闭步骤：：：

步骤一：：：在项目源码中全文搜索如下代码，，，找到并将此行代码删除：：：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);  


步骤二：：：在JVM中启动项目时，，，不要增长如下参数：：：

-Dfastjson.parser.autoTypeSupport=true


●参考链接


https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a