【缝隙公告】Fastjson 1.x 反序列化远程代码执行缝隙
颁布功夫 2026-07-20一、缝隙概述
Fastjson是阿里巴巴开源的一款高机能Java JSON处置库，用于实现Java对象与JSON数据之间的急剧转换，宽泛利用于Web服务、API接口、微服务及企业级利用系统中。Fastjson 1.x曾因高机能和易用性被大量Java项目选取，但由于汗青版本存在屡次反序列化安全问题，Fastjson 1.x 分支已终场守护并归档，不再提供安全更新，建议迁徙至Fastjson 2.x或其他安全代替规划。
2026年7月20日，OG东方厅安全应急响应中心（VSRC）监测到Fastjson 1.x反序列化远程代码执行缝隙。其中1.2.68至1.2.83版本被发现存在无需依赖Classpath Gadget的反序列化远程代码执行缝隙。该缝隙利用链不依赖指标环境中预置的第三方组件或特定Gadget类，即便选取传统删除危险类、限度依赖库等缓解措施，也无法有效阻止攻击。攻击者可通过机关恶意JSON数据触发Fastjson不安全反序列化流程，在指标服务器上执行肆意代码，导致服务器齐全失陷、敏感数据泄露及业务系统被节制。由于Fastjson 1.x已于2024年10月终场守护且仓库归档，不再提供安全补丁，持续使用存在较高安全风险。
二、影响领域
1.2.68 <= Fastjson <= 1.2.83（已确认）。
三、安全措施
3.1 升级版本
将Fastjson 1.x 迁徙至 Fastjson 2.x 或其他安全 JSON 解析库（如 Jackson）。
对项目依赖进行全面排查，预防持续使用Fastjson 1.x。
下载链接：
https://github.com/alibaba/fastjson2/
3.2 一时措施
不容外部不成信JSON 数据直接进入 Fastjson 反序列化流程；；
关闭AutoType 职能；；
对接口输入进行严格校验；；
通过WAF 或 API 网关限度异常 JSON 要求。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
加强系统和网络的接见节制，批改防火墙战术，关闭非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
使用企业级安全产品，提升企业的网络安全机能。
加强系统用户和权限治理，启用多成分认证机制和最小权限准则，用户和软件权限应维持在最低限度。
启用强密码战术并设置为定期批改。
3.4 参考链接
https://x.com/k_firsov/status/2078872293745570032
京公网安备11010802024551号