【漏洞通告】Apache Johnzon反序列化漏洞安全风险通告

近日，嘉诚安全监测到Apache Johnzon反序列化漏洞，漏洞细节在互联网上公开，漏洞编号为：CVE-2023-33008。

Apache Johnzon 是用于解析和创建 JSONP 的 Java 库。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为中危漏洞。当攻击者对传入的JSON数据填充大量数字（例如 1e20000000），Apache Johnzon会将其反序列化为BigDecimal，可能会因使用过大的数字导致转换缓慢，造成拒绝服务。

影响版本：

Apache Johnzon 版本：≤1.2.20

根据影响版本中的信息，建议相关用户尽快更新至安全版本，即1.2.21版本，下载链接请参考：

https://github.com/apache/johnzon/tags