Fastjson远程代码执行缝隙公告
颁布功夫 2020-05-290x00 缝隙概述
|
CVE ID |
暂无 |
时 间 |
2020-05-29 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Fastjson <= 1.2.68 |
0x01 缝隙详情
Fastjson是阿里巴巴的开源JSON解析库，它能够解析JSON体式的字符串，支持将Java Bean序列化为JSON字符串，也能够从JSON字符串反序列化到JavaBean。
2020年5月28日，Github颁布了有关Fastjson <= 1.2.68版本存在远程代码执行缝隙的布告，该缝隙可绕过autoType开关的限度，攻击者精心机关反序列化利用链，实此刻指标机械上的远程代码执行。此缝隙自身无法绕过Fastjson的黑名单限度，必要共同不在黑名单中的反序列化利用链能力实现缝隙利用。
Fastjson版本检测号令：
lsof | grep fastjson
0x02 措置建议
截止到目前，官方还未颁布1.2.69版本，建议宽大用户实时关注官方更新公告，做好资产自查，以免遭逢黑客攻击。
一时措施：
受影响用户可通过禁用autoType来躲避风险，另表建议将JDK升级到最新版本。
由于autotype开关的限度可被绕过，请受影响用户升级fastjson至1.2.68版本，通过开启safeMode配置齐全禁用autoType。( 把稳：safeMode会齐全禁用autotype，忽视白名单，请把稳评估对业务影响)三种配置SafeMode的方式如下:
? 在代码中配置：
ParserConfig.getGlobalInstance().setSafeMode(true);
? 加上JVM启动参数：若是有多个包名前缀，可用逗号隔开。
-Dfastjson.parser.safeMode=true
? 通过fastjson.properties文件配置：通过类蹊径的fastjson.properties文件来配置，配置方式如下：
fastjson.parser.safeMode=true
0x03 参考链接
https://github.com/alibaba/fastjson/releases
https://github.com/alibaba/fastjson/wiki/fastjson_safemode
0x04 功夫线
2020-05-28 Github颁布缝隙布告
2020-05-29 VSRC颁布缝隙公告
京公网安备11010802024551号