Fastjson反序列化漏洞安全通告

admin
admin
admin
138858
文章
114
评论
2022年5月24日00:55:28评论54 views字数 848阅读2分49秒阅读模式

Fastjson反序列化漏洞安全通告

近日，沈阳网络安全协会信息通报机制合作单位新华三集团（H3C）提醒，Fastjson官方发布了安全公告，解决了在Fastjson中存在的一个反序列化漏洞，请受影响用户尽快安装更新补丁，避免受到影响。

1漏洞综述

1.1 漏洞背景

Fastjson是阿里巴巴公司的一个开源java库，可用于将Java对象转换为其JSON表示，还可用于将JSON字符串转换为等效的Java对象，其性能从未被其他Java实现的JSON库超越。

1.2 漏洞原理

该漏洞是由于Fastjson在1.2.80及以下版本中使用黑白名单用于防御反序列化漏洞，但是该防御策略在特定条件下可绕过默认 autoType。恶意攻击者通过发送特制的反序列化数据至服务器，能够在目标系统上执行任意代码。

2影响范围

Fastjson <= 1.2.80
相关用户可使用以下命令检测当前使用的Fastjson版本：
lsof | grep fastjson

3处置方法

3.1官方补丁

目前官方已发布更新补丁，请受影响用户及时关注并尽快更新，官方链接：https://github.com/alibaba/fastjson/releases/tag/1.2.83

3.2 开启安全模式

fastjson 在 1.2.68 及以后的版本引入了safeMode，配置该模式之后，无论白名单和黑名单，都不支持 autoType，可杜绝反序列化Gadgets类变种攻击（关闭autoType前请评估对业务的影响），配置safeMode方法可参考官方链接：https://github.com/alibaba/fastjson/wiki/fastjson_safemode

3.3 升级到 Fastjson v2

Fastjson v2版本已经发布，2.0版本不受此反序列化漏洞影响，但是不完全兼容1.x版本，升级前需要做兼容测试，可参考官方链接：https://github.com/alibaba/fastjson2/releases

Fastjson反序列化漏洞安全通告

原文始发于微信公众号（沈阳网络安全协会）：Fastjson反序列化漏洞安全通告

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月24日00:55:28
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Fastjson反序列化漏洞安全通告http://cn-sec.com/archives/1043074.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息