FastJson 1.2.61远程代码执行缝隙安全公告

颁布功夫 2019-09-23

缝隙编号和级别


CVE编号 ：：：暂无，，，危险级别 ：：：高危，，，CVSS分值 ：：：官方未评定


影响版本


受影响的版本


FastJson 1.2.61及以下


缝隙概述


FastJson是阿里巴巴的开源JSON解析库，，，它能够解析JSON体式的字符串，，，支持将Java Bean序列化为JSON字符串，，，也能够从JSON字符串反序列化到JavaBean，，，由于拥有执行效能高的特点，，，利用领域很广。。。


最近FastJson更新了黑名单，，，升级到了1.2.61版本，，，安全钻研人员尝试bypass其黑名单，，，在AutType打开的情况下成功绕过了黑名单防护。。。


复现环境筹备


1.JDK 8U20


2.所需jar清单如下


OG东方厅·(中国大陆)



FastJsonTest.java


OG东方厅·(中国大陆)



恶意类ExportObject.java


OG东方厅·(中国大陆)



使用org.apache.commons.configuration2.JNDIConfiguration ，，，payload 成效如下


OG东方厅·(中国大陆)



Fastjson 在1.2.42版本起头，，，将正本明文的黑名单改成了hash value的黑名单，，，使用这种方式，，，能在肯定水平上减缓安全钻研者对fastjson黑名单绕过的速度。。。



OG东方厅·(中国大陆)


缝隙验证


暂无POC/EXP。。。


修复建议


目前暂未修复，，，官方即将更新。。。


参考链接


https://github.com/alibaba/fastjson/blob/master/src/main/java/com/alibaba/fastjson/parser/ParserConfig.java