fastjson远程代码执行误差清静通告

宣布时间 2019-09-20

●误差编号和级别


CVE编号：暂无，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定


●影响版本


受影响的版本


fastjson < =1.2.60


●误差概述


fastjson是阿里巴巴的开源JSON剖析库，，，，，，，，它可以剖析JSON名堂的字符串，，，，，，，，支持将Java Bean序列化为JSON字符串，，，，，，，，也可以从JSON字符串反序列化到JavaBean，，，，，，，，由于具有执行效率高的特点，，，，，，，，应用规模普遍。。。 。。


9月18日，，，，，，，，有清静研究员在阿里官方GitHub上提交了针对fastjson反序列化远程下令执行误差新使用方法的修复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a)，，，，，，，，攻击者可以通过此误差远程执行恶意代码来入侵效劳器。。。 。。


●误差验证


暂无POC/EXP。。。 。。



●修复建议


官方暂未宣布修复版本。。。 。。


缓解步伐：


官方暂未宣布针对此误差的修复版本，，，，，，，，受影响用户需确定目今版本为官方最新版本，，，，，，，，且未开启autoType功效，，，，，，，，实现对此误差的防护（autoType功效默认关闭）。。。 。。


autoType关闭要领：

要领一：在项目源码中全文搜索如下代码，，，，，，，，找到并将此行代码删除：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);  


要领二：在JVM中启动项目时，，，，，，，，不要添加如下参数：

-Dfastjson.parser.autoTypeSupport=true


●参考链接


https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a