Fastjson caucho-quercus远程代码执行误差危害通告

宣布时间 2020-03-23

误差编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


Fastjson<1.2.67


误差概述


Fastjson是一个Java语言编写的高性能功效完善的JSON库 。它接纳一种“假定有序快速匹配”的算法，把JSON Parse的性能提升到极致，是现在Java语言中最快的JSON库 。Fastjson接口简朴易用，已经被普遍使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景 。


Fastjson远程代码执行误差是由于使用com.caucho.config.types.ResourceRef类，绕过了Fastjson1.2.66及以前版本的黑名单而导致 。当服务端加载了保存受误差影响的resin依赖，并且开启了Fastjson的autotype时，远程攻击者可以通过结构的攻击代码触发远程代码执行误差，最终可以获取到服务器的控制权限 。


误差验证


暂无PoC/EXP 。


修复建议


1.Alibaba宣布的最新版本Fastjson1.2.67已经防御此误差，请受误差影响的用户下载最新版本 。下载链接：https://github.com/alibaba/fastjson 。

2.Fastjson默认关闭autotype，若是项目中不需要该功效，可以删除以下代码：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);


参考链接


https://github.com/alibaba/fastjson