Fastjson caucho-quercus远程代码执行误差危害通告

宣布时间 2020-03-23

误差编号和级别


CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


误差概述


Fastjson是一个Java语言编写的高性能功效完善的JSON库。它接纳一种“假定有序快速匹配”的算法 ，把JSON Parse的性能提升到极致 ，是现在Java语言中最快的JSON库。Fastjson接口简朴易用 ，已经被普遍使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。


Fastjson远程代码执行误差是由于使用com.caucho.config.types.ResourceRef类 ，绕过了Fastjson1.2.66及以前版本的黑名单而导致。当服务端加载了保存受误差影响的resin依赖 ，并且开启了Fastjson的autotype时 ，远程攻击者可以通过结构的攻击代码触发远程代码执行误差 ，最终可以获取到服务器的控制权限。


误差验证


暂无PoC/EXP。


修复建议


1.Alibaba宣布的最新版本Fastjson1.2.67已经防御此误差 ，请受误差影响的用户下载最新版本。下载链接：https://github.com/alibaba/fastjson。

2.Fastjson默认关闭autotype ，若是项目中不需要该功效 ，可以删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson