Fastjson caucho-quercus远程代码执行缝隙风险公告

颁布功夫 2020-03-23

缝隙编号和级别


CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


缝隙概述


Fastjson是一个Java说话编写的高机能职能美满的JSON库。它选取一种“假定有序急剧匹配”的算法 ，把JSON Parse的机能提升到极致 ，是目前Java说话中最快的JSON库。Fastjson接口单一易用 ，已经被宽泛使用在缓存序列化、和谈交互、Web输出、Android客户端等多种利用场景。


Fastjson远程代码执行缝隙是由于使用com.caucho.config.types.ResourceRef类 ，绕过了Fastjson1.2.66及以前版本的黑名单而导致。当服务端加载了存在受缝隙影响的resin依赖 ，并且开启了Fastjson的autotype时 ，远程攻击者能够通过机关的攻击代码触发远程代码执行缝隙 ，最终能够获取到服务器的节造权限。


缝隙验证


暂无PoC/EXP。


建复建议


1.Alibaba颁布的最新版本Fastjson1.2.67已经防御此缝隙 ，请受缝隙影响的用户下载最新版本。下载链接：https://github.com/alibaba/fastjson。

2.Fastjson默认关关autotype ，若是项目中不必要该职能 ，能够删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson