Fastjson caucho-quercus远程代码执行误差危害通告

宣布时间 2020-03-23

误差编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


误差概述


Fastjson是一个Java语言编写的高性能功效完善的JSON库。。它接纳一种“假定有序快速匹配”的算法，，，，，把JSON Parse的性能提升到极致，，，，，是现在Java语言中最快的JSON库。。Fastjson接口简朴易用，，，，，已经被普遍使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。。


Fastjson远程代码执行误差是由于使用com.caucho.config.types.ResourceRef类，，，，，绕过了Fastjson1.2.66及以前版本的黑名单而导致。。当效劳端加载了保存受误差影响的resin依赖，，，，，并且开启了Fastjson的autotype时，，，，，远程攻击者可以通过结构的攻击代码触发远程代码执行误差，，，，，最终可以获取到效劳器的控制权限。。


误差验证


暂无PoC/EXP。。


修复建议


1.Alibaba宣布的最新版本Fastjson1.2.67已经防御此误差，，，，，请受误差影响的用户下载最新版本。。下载链接：https://github.com/alibaba/fastjson。。

2.Fastjson默认关闭autotype，，，，，若是项目中不需要该功效，，，，，可以删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson