Fastjson caucho-quercus远程代码执行缝隙风险公告

颁布功夫 2020-03-23

缝隙编号和级别


CVE编号：暂无，，危险级别：高危，，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


缝隙概述


Fastjson是一个Java说话编写的高机能职能美满的JSON库 。它选取一种“假定有序急剧匹配”的算法，，把JSON Parse的机能提升到极致，，是目前Java说话中最快的JSON库 。Fastjson接口单一易用，，已经被宽泛使用在缓存序列化、和谈交互、Web输出、Android客户端等多种利用场景 。


Fastjson远程代码执行缝隙是由于使用com.caucho.config.types.ResourceRef类，，绕过了Fastjson1.2.66及以前版本的黑名单而导致 。当服务端加载了存在受缝隙影响的resin依赖，，并且开启了Fastjson的autotype时，，远程攻击者能够通过机关的攻击代码触发远程代码执行缝隙，，最终能够获取到服务器的节制权限 。


缝隙验证


暂无PoC/EXP 。


修复建议


1.Alibaba颁布的最新版本Fastjson1.2.67已经防御此缝隙，，请受缝隙影响的用户下载最新版本 。下载链接：https://github.com/alibaba/fastjson 。

2.Fastjson默认关闭autotype，，若是项目中不必要该职能，，能够删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson