fastjson 1.2.80 autotype bypass 反序列化漏洞

2022年5月24日00:54:55评论245 views字数 386阅读1分17秒阅读模式

fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。

由浅蓝（没错正是本人 fastjson 1.2.80 autotype bypass 反序列化漏洞）研究发现并向阿里巴巴报告的 fastjson 1.2.80 autotype 绕过反序列化漏洞在近日得到了修复。该漏洞可在未开启 autotype 的情况下进行对象反序列化。

更多细节可参考该项目的更新通告

https://github.com/alibaba/fastjson/wiki/security_update_20220523

更新到 1.2.80 以上版本。

新开了一个免费知识星球，后续应该会用来发一些自己的技术分享，后台回复「知识星球」加入。

原文始发于微信公众号（安全档案）：fastjson 1.2.80 autotype bypass 反序列化漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

本文由 admin 发表于 2022年5月24日00:54:55
转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
fastjson 1.2.80 autotype bypass 反序列化漏洞https://cn-sec.com/archives/1043354.html
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

漏洞复现 || XWiki Platform系统远程代码执行 POC