Fastjson caucho-quercus远程代码执行误差危害通告

宣布时间 2020-03-23

误差编号和级别


CVE编号：暂无，， ，危险级别：高危，， ，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


误差概述


Fastjson是一个Java语言编写的高性能功效完善的JSON库。。它接纳一种“假定有序快速匹配”的算法，， ，把JSON Parse的性能提升到极致，， ，是现在Java语言中最快的JSON库。。Fastjson接口简朴易用，， ，已经被普遍使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。。


Fastjson远程代码执行误差是由于使用com.caucho.config.types.ResourceRef类，， ，绕过了Fastjson1.2.66及以前版本的黑名单而导致。。当效劳端加载了保存受误差影响的resin依赖，， ，并且开启了Fastjson的autotype时，， ，远程攻击者可以通过结构的攻击代码触发远程代码执行误差，， ，最终可以获取到效劳器的控制权限。。


误差验证


暂无PoC/EXP。。


修复建议


1.Alibaba宣布的最新版本Fastjson1.2.67已经防御此误差，， ，请受误差影响的用户下载最新版本。。下载链接：https://github.com/alibaba/fastjson。。

2.Fastjson默认关闭autotype，， ，若是项目中不需要该功效，， ，可以删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson