【漏洞情报】Fastjson 反序列化漏洞风险通告

0x01  漏洞介绍

Fastjson由阿里巴巴开发的开源JSON解析库，由JAVA语言编写。Fastjson可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。由于具有执行效率高的特点，应用范围广泛。

近日，锋刃科技监测到阿里巴巴发布了fastjson风险通告，漏洞等级：高危；暂无漏洞编号。

漏洞风险描述：

fastjson已使用黑白名单用于防御反序列化漏洞，经研究该利用在特定条件下可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大。建议fastjson用户尽快采取安全措施保障系统安全。

0x02  漏洞等级

漏洞等级：高危 | 8.5

0x03  影响版本

特定依赖存在下影响 ≤1.2.80

0x04  漏洞修复方案

1. 升级到最新版本1.2.83，参考：

https://github.com/alibaba/fastjson/releases/tag/1.2.83 。

（该版本涉及autotype行为变更，在某些场景会出现不兼容的情况。）

2. 可升级到fastjson v2 ，可参考：

https://github.com/alibaba/fastjson2/releases。

3. safeMode加固，参考 ：

https://github.com/alibaba/fastjson/wiki/fastjson_safemode

（fastjson在1.2.68及之后的版本中引入了safeMode，配置safeMode后，无论白名单和黑名单，都不支持autoType，可杜绝反序列化Gadgets类变种攻击（关闭autoType注意评估对业务的影响））

0x04  参考链接

https://github.com/alibaba/fastjson/wiki/security_update_20220523

原文始发于微信公众号（锋刃科技）：【漏洞情报】Fastjson 反序列化漏洞风险通告